漏洞概述

Opto22 Groov Manage维护应用程序端点存在远程代码执行漏洞。攻击者可以创建特制请求，在执行时实现远程代码执行，该代码将在以root身份运行的Opto Edge Web应用程序上下文中执行。

受影响版本

• 受影响版本：3.2.0 至 4.0.2
• 已修复版本：4.0.3

漏洞描述

当向/manage/api/v1/maintenance/update/apply端点执行POST请求时，应用程序会从请求中读取uploader-file-id标头，并不安全地使用该值构建删除文件的命令，允许攻击者注入任意命令，这些命令将以root权限执行。

识别与修复

该问题在Red Team X评估期间被发现，并在CVE-2025-13087中披露。此后该问题已得到解决，并为客户提供了修复程序。

严重程度

中等 - CVSS总体评分：6.7/10

CVSS v3基础指标

• 攻击向量：网络
• 攻击复杂度：低
• 所需权限：高
• 用户交互：无
• 范围：未改变
• 机密性：高
• 完整性：高
• 可用性：低

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L

CVE标识符

CVE-2025-13087

致谢

• 发现者：ismai1337
• 发现者：tsytsarkin