Iniciar sesión
Deutsch English Español Polski
Media

Microweber CMS API has authenticated local file inclusion vulnerability

  • Publicada: 02.07.2025
  • Actualizado: 11.10.2026 10:22

An authenticated local file inclusion vulnerability exists in Microweber CMS versions < 1.2.11 through misuse of the backup management API. Authenticated users can abuse the /api/BackupV2/upload and /api/BackupV2/download endpoints to read arbitrary files from the underlying filesystem. By specifying an absolute file path in the src parameter of the upload request, the server may relocate or delete the target file depending on the web service user’s privileges. The corresponding download endpoint can then be used to retrieve the file contents, effectively enabling local file disclosure. This behavior stems from insufficient validation of user-supplied paths and inadequate restrictions on file access and backup logic.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer microweber/microweber < 1.2.11 1.2.11

Referencias

Puntuación CVSS -
Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Debilidad (CWE)
CWE-22
Plataforma
Composer
Paquete
microweber/microweber
Publicada
02.07.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-j64v-xh5w-8hqj - CC BY 4.0

Historial de vulnerabilidades: microweber/microweber

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (106) en el archivo
Entradas en total
106
Primera → última
10.2021 06.2026
Sin corrección
31
Explotada en ataques
0

Distribución por gravedad

  • Alta 27
  • Media 73
  • Baja 6

Divulgaciones por año

Gravedad:
  1. Microweber CMS API has authenticated local file inclusion vulnerability esta entrada
    Media CVE-2025-34076 < 1.2.11 1.2.11
  2. Microweber allows a remote attacker to obtain sensitive information via the HTTP GET method
    Alta · 7.5 CVE-2023-48122 >= 2.0.1, < 2.0.4 2.0.4
  3. Microweber file upload vulnerability
    Alta · 8.8 CVE-2023-49052 <= 2.0.4 sin corrección
  4. Improper Privilege Management in microweber
    Alta · 8.8 CVE-2023-2240 < 1.3.4 1.3.4
  5. Microweber vulnerable to stored cross-site scripting (XSS) via X-Forwarded-For header
    Alta · 7.4 CVE-2023-1881 < 1.3.3 1.3.3
  6. Microweber vulnerable to unrestricted malicious uploads
    Alta · 7.2 CVE-2022-4732 < 1.3.2 1.3.2
  7. Account Takeover Through Password Reset Poisoning
    Alta · 8.8 CVE-2022-33012 <= 1.2.15 sin corrección
  8. Microweber Discloses Sensitive Information
    Alta · 7.5 CVE-2020-13405 < 1.1.20 1.1.20
  9. Microweber allows Unrestricted File Upload
    Alta · 7.8 CVE-2020-13241 <= 1.1.18 sin corrección
  10. Incorrect Authorization in microweber
    Alta · 8.8 CVE-2022-1631 < 1.2.15 1.2.15
  11. Integer Overflow or Wraparound in Microweber
    Alta · 7.5 CVE-2022-1036 < 1.2.12 1.2.12
  12. Denial of service in microweber
    Alta · 7.1 CVE-2022-0961 <= 1.2.11 sin corrección
  13. Integer Overflow in microweber
    Alta · 7.2 CVE-2022-0968 <= 1.2.11 sin corrección
  14. Cross-site Scripting in microweber
    Alta · 4.8 CVE-2022-0930 < 1.2.12 1.2.12
  15. Integer Overflow or Wraparound in Microweber
    Alta · 7.5 CVE-2022-0913 < 1.2.12 1.2.12
  16. Static Code Injection in Microweber
    Alta · 7.7 CVE-2022-0895 < 1.3 1.3
  17. Improper Neutralization of Special Elements Used in a Template Engine in microweber
    Alta · 8.8 CVE-2022-0896 < 1.3 1.3
  18. Rate limit missing in microweber
    Alta · 7.5 CVE-2022-0777 < 1.3 1.3
  19. Insertion of Sensitive Information Into Debugging Code in Microweber
    Alta · 8.8 CVE-2022-0721 < 1.3 1.3
  20. Insecure Storage of Sensitive Information in Microweber
    Alta CVE-2022-0724 < 1.3 1.3
  21. Cross-site Scripting in Microweber
    Alta · 7.6 CVE-2022-0719 < 1.3 1.3
  22. Cross-site Scripting in microweber
    Alta · 8.8 CVE-2022-0690 < 1.2.11 1.2.11
  23. Generation of Error Message Containing Sensitive Information in microweber
    Alta · 7.5 CVE-2022-0660 < 1.2.11 1.2.11
  24. CRLF Injection in microweber
    Alta · 7.6 CVE-2022-0666 < 1.2.11 1.2.11
  25. OS Command Injection in Microweber
    Alta · 7.8 CVE-2022-0557 < 1.2.11 1.2.11
  26. Zip slip in Microweber
    Alta · 7.2 CVE-2020-28337 < 1.2.3 1.2.3
  27. Exposure of Sensitive Information to an Unauthorized Actor in microweber
    Alta · 7.5 CVE-2022-0281 < 1.2.11 1.2.11
  28. Code Injection in microweber
    Alta · 7.5 CVE-2022-0282 < 1.2.11 1.2.11

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.