CVE-2025-69565: Upload de arquivo sem restrição no code-projects Mobile Shop Management System 1.0

Visão geral

A CVE-2025-69565 é uma vulnerabilidade de upload de arquivo na página /ExAddProduct.php do code-projects Mobile Shop Management System 1.0. A fraqueza está classificada como CWE-434, upload irrestrito de arquivo de tipo perigoso. O registro da CVE foi publicado em 27/01/2026 e aparece com status Analyzed na NVD.

Impacto

A pontuação CVSS 3.1 base informada pelo CNA é 9.8, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário.
O vetor do registro indica alto impacto na confidencialidade, integridade e disponibilidade caso a falha seja explorada.
Inferência: funções de upload sem restrição em aplicações web podem permitir que um atacante insira arquivos que o servidor venha a processar, o que pode levar à execução de código dependendo da configuração do servidor. O registro não confirma esse desfecho.

Produtos e versões afetadas

O registro descreve o code-projects Mobile Shop Management System na versão 1.0.
O campo estruturado de produto afetado nomeia Fabian Mobile Shop Management System, versão 1.0. Esse nome difere da descrição e deve ser verificado com a fonte oficial do projeto ou do fornecedor.
Nenhuma outra versão afetada consta no registro.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nesses dados.
Nenhuma exploração confirmada aparece nas fontes consultadas.
Uma referência de terceiros está marcada como Exploit no registro. Isso indica que material relacionado a exploração foi vinculado, mas o registro não confirma sua precisão ou eficácia.

Correção e mitigação

Nenhuma versão corrigida consta no registro. A ausência de correção listada não significa que ela não exista; o status é desconhecido.
Administradores que executam esta aplicação devem restringir o acesso às páginas administrativas e de gestão de produtos, limitar quem pode acessar funções de upload e verificar com a fonte do software se há atualização ou substituto.
Medidas defensivas incluem validar tipo e conteúdo dos arquivos no servidor, armazenar uploads fora da raiz web e remover permissões de execução dos diretórios de upload.

Orientações de detecção

Revisar os logs do servidor web em busca de requisições POST inesperadas para /ExAddProduct.php e de novos arquivos em diretórios de upload ou imagens.
Monitorar a criação de arquivos com extensões de script ou executáveis em caminhos acessíveis pela web.
Gerar alertas para acessos incomuns aos endpoints de gestão de produtos vindos de origens desconhecidas.

Limitações das informações disponíveis

O registro não fornece versão corrigida, aviso oficial do fornecedor nem análise técnica detalhada.
O nome do produto difere entre a descrição e o campo estruturado de afetados.
Dados de EPSS e SSVC não estão disponíveis no registro.
O conteúdo da referência marcada como Exploit não foi verificado para esta análise.

Perguntas frequentes

O que é a CVE-2025-69565?

É uma vulnerabilidade de upload de arquivo (CWE-434) na página /ExAddProduct.php do code-projects Mobile Shop Management System 1.0, segundo o registro da CVE.

Existe correção para esta vulnerabilidade?

Nenhuma versão corrigida consta no registro. O status de correção é desconhecido, então os administradores devem verificar a fonte do software para atualizações.

Esta vulnerabilidade está sendo explorada ativamente?

Segundo o registro, a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Uma referência está marcada como Exploit, mas seu conteúdo não foi verificado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.