CVE ID

CVE-2025-12140

发布日期

2025年11月27日

供应商

Simple SA

产品

Wirtualna Uczelnia

受影响版本

所有早于 wu#2016.1.5513#0#20251014_113353 的版本

漏洞类型 (CWE)

动态评估代码中指令的不当中和（‘Eval注入’）(CWE-95)

报告来源

向CERT Polska报告

漏洞描述

CERT Polska收到一份关于Wirtualna Uczelnia软件中存在漏洞的报告，并参与了其披露的协调工作。 漏洞CVE-2025-12140：应用程序错误地处理端点redirectToUrl中参数redirectUrlParameter的值。应用程序将输入的字符串解释为Java表达式，允许未经身份验证的攻击者执行任意代码。 此问题已在版本 wu#2016.1.5513#0#20251014_113353 中修复。

致谢

我们感谢 Marcin Ressel 负责任地报告了此漏洞。

• 有关CERT Polska协调漏洞披露流程的更多信息，请访问 https://cert.pl/en/cvd/。