CVE-2025-15227 - 威联科技｜ BPMFlowWebkit - 任意文件读取
概述
漏洞描述
威联科技（WELLTEND TECHNOLOGY）开发的BPMFlowWebkit存在一个任意文件读取漏洞，允许未经身份验证的远程攻击者利用绝对路径遍历（Absolute Path Traversal）来下载任意系统文件。
关键信息
- 发布日期：2025年12月29日 上午8:15
- 最后修改日期：2025年12月29日 下午3:57
- 可远程利用：是！
- 来源：twcert@cert.org.tw
受影响产品
以下产品受CVE-2025-15227漏洞影响。即使cvefeed.io知晓受影响产品的确切版本，该信息也未在下表中显示。
暂无受影响产品记录
总计受影响供应商：0 | 产品：0
CVSS 评分
通用漏洞评分系统是一个用于评估软件和系统中漏洞严重程度的标准化框架。我们为每个CVE收集并展示来自不同来源的CVSS分数。
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 7.5 | CVSS 3.1 | 高 | - | - | - | cded6c7f-6ce5-4948-8f87-aa7a3bbb6b0e |
| 7.5 | CVSS 3.1 | 高 | - | 3.9 | 3.6 | twcert@cert.org.tw |
| 7.5 | CVSS 3.1 | 高 | - | 3.9 | 3.6 | MITRE-CVE |
| 8.7 | CVSS 4.0 | 高 | - | - | - | cded6c7f-6ce5-4948-8f87-aa7a3bbb6b0e |
| 8.7 | CVSS 4.0 | 高 | - | - | - | twcert@cert.org.tw |
解决方案
通过防止路径遍历和限制文件访问来解决任意文件读取问题。
- 对所有用户提供的文件路径输入进行净化处理。
- 为文件操作实施严格的访问控制。
- 将软件更新到最新的安全版本。
- 移除不必要的文件访问功能。
相关咨询、解决方案和工具的参考链接
此处，您将找到与CVE-2025-15227相关的、提供深入信息、实用解决方案和有价值工具的外部链接精选列表。
| URL | 资源 |
|---|---|
| https://www.twcert.org.tw/en/cp-139-10605-426b6-2.html | |
| https://www.twcert.org.tw/tw/cp-132-10604-c65aa-1.html |
CWE - 通用缺陷枚举
CVE标识特定的漏洞实例，而CWE则对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-15227与以下CWE相关联：
- CWE-36：绝对路径遍历
常见攻击模式枚举与分类 (CAPEC)
常见攻击模式枚举与分类 (CAPEC) 存储攻击模式，这些模式描述了攻击者利用CVE-2025-15227弱点所采用的常见属性和方法。
- CAPEC-597：绝对路径遍历
漏洞时间线详情
漏洞历史记录详情有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新变化。
| 新CVE接收自 | twcert@cert.org.tw | 日期 | 2025年12月29日 |
|---|---|---|---|
| 操作 | 类型 | 旧值 | 新值 |
| 已添加 | 描述 | - | BPMFlowWebkit developed by WELLTEND TECHNOLOGY has a Arbitrary File Read vulnerability, allowing unauthenticated remote attackers to exploit Absolute Path Traversal to download arbitrary system files. |
| 已添加 | CVSS V4.0 | - | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| 已添加 | CVSS V3.1 | - | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 已添加 | CWE | - | CWE-36 |
| 已添加 | 参考链接 | - | https://www.twcert.org.tw/en/cp-139-10605-426b6-2.html |
| 已添加 | 参考链接 | - | https://www.twcert.org.tw/tw/cp-132-10604-c65aa-1.html |
漏洞评分详情
CVSS 4.0
- 基础CVSS分数：8.7
| 攻击向量 | 攻击复杂性 | 攻击前提 | 所需权限 | 用户交互 | 机密性（VS） | 完整性（VS） | 可用性（VS） | 机密性（SS） | 完整性（SS） | 可用性（SS） |
|---|---|---|---|---|---|---|---|---|---|---|
| 网络 | 低 | 无 | 无 | 无 | 高 | 无 | 无 | 无 | 无 | 无 |
CVSS 3.1
- 基础CVSS分数：7.5
| 攻击向量 | 攻击复杂性 | 所需权限 | 用户交互 | 作用域 | 机密性影响 | 完整性影响 | 可用性影响 |
|---|---|---|---|---|---|---|---|
| 网络 | 低 | 无 | 无 | 未改变 | 高 | 无 | 无 |