- شناسه CVE-2025-8775 :CVE
- CWE-434, CWE-284 :CWE
- yes :Advisory
- منتشر شده: آگوست 9, 2025
- به روز شده: آگوست 9, 2025
- امتیاز: 6.3
- نوع حمله: Unknown
- اثر گذاری: Unknown
- حوزه: نرم افزارهای کاربردی
- برند: Qualcomm
- محصول: Eelectronic Signature Platform
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch نشده
چکیده
یک آسیب‌پذیری در پلتفرم امضای الکترونیکی Qiyuesuo تا نسخه 4.34 شناسایی شده است که امکان بارگذاری و اجرای فایل‌های مخرب را فراهم می‌کند. این آسیب پذیری امنیت سیستم را تهدید کرده و نیازمند اقدامات فوری برای محافظت از سرور است.
توضیحات
آسیب‌پذیری CVE-2025-8775 در پلتفرم امضای الکترونیکی Qiyuesuo، ناشی از ضعف تابع execute در فایل/api/code/upload از کامپوننت پردازشگرScheduled Task است که با بارگذاری نامحدود فایل‌ها (مطابق با CWE-434) و کنترل دسترسی نادرست (مطابق با CWE-284) شناخته می‌شود. این آسیب پذیری به دلیل عدم اعتبارسنجی مناسب فایل‌های بارگذاری‌شده، به کاربران احراز هویت‌شده اجازه می‌دهد فایل‌های جاوا مخرب را بارگذاری کرده و با دور زدن مکانیزم‌های فیلتر لیست سیاه (مانند جلوگیری از شناسایی کلاس های حساس Runtime یا Process از طریق اتصال رشته‌ها و استفاده از reflection)، دستورات سیستمی را به‌صورت از راه دور اجرا کنند. این آسیب‌پذیری می‌تواند منجر به اجرای کد دلخواه (RCE) شود و برای سازمان‌هایی که از Qiyuesuo جهت مدیریت اسناد دیجیتال و فرآیندهای امضای الکترونیکی استفاده می‌کنند، ریسک دسترسی غیرمجاز به اسناد حساس، تغییر یا حذف داده‌ها و اختلال جدی در عملیات امضا را به همراه دارد. وجود اکسپلویت عمومی و کد اثبات مفهومی (PoC)، فرآیند بهره‌برداری را حتی برای مهاجمان با دسترسی محدود بسیار آسان کرده است. عدم پاسخگویی فروشنده نیز نشان می‌دهد که هنوز پچ امنیتی لازم برای رفع این آسیب پذیری منتشر نشده است.
CVSS
| Score | Severity | Version | Vector String |
| 5.3 | MEDIUM | 4.0 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P |
| 6.3 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 6.3 | MEDIUM | 3.0 | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 6.5 | — | 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:P/E:POC/RL:ND/RC:UR |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 4.0
affected at 4.1 affected at 4.2 affected at 4.3 affected at 4.4 affected at 4.5 affected at 4.6 affected at 4.7 affected at 4.8 affected at 4.9 affected at 4.10 affected at 4.11 affected at 4.12 affected at 4.13 affected at 4.14 affected at 4.15 affected at 4.16 affected at 4.17 affected at 4.18 affected at 4.19 affected at 4.20 affected at 4.21 affected at 4.22 affected at 4.23 affected at 4.24 affected at 4.25 affected at 4.26 affected at 4.27 affected at 4.28 affected at 4.29 affected at 4.30 affected at 4.31 affected at 4.32 affected at 4.33 affected at 4.34 |
Eelectronic Signature Platform |
نتیجه گیری
مدیران سیستم باید دسترسی به Endpointهای حساس مثل /api/code/upload را محدود کنند و فقط به کاربران یا سیستم‌های معتبر با مجوزهای دقیق اجازه دسترسی بدهند. باید احراز هویت قوی و کنترل دسترسی مبتنی بر نقش پیاده‌سازی شود. همچنین، اعتبارسنجی کامل فایل‌های بارگذاری‌شده (نوع، پسوند، اندازه و اسکن برای کد مخرب) ضروری است. ذخیره فایل‌ها باید در مسیرهای امن بدون امکان اجرای کد باشد. استفاده از فایروال برنامه وب (WAF) برای فیلتر درخواست‌های مخرب و مانیتورینگ مستمر رویدادها نیز توصیه می‌شود. همچنین، غیرفعال کردن موقت ویژگی تسک های زمان‌بندی‌شده تا زمان انتشار پچ امنیتی آسیب پذیری و بررسی دقیق مجوزهای کاربران توصیه می‌شود. در صورت عدم انتشار پچ امنیتی، جایگزینی پلتفرم با محصول امن تر پیشنهاد می شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-8775
- https://www.cvedetails.com/cve/CVE-2025-8775/
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-8775
- https://vuldb.com/?submit.625551
- https://vuldb.com/?submit.625553
- https://vuldb.com/?id.319298
- https://vuldb.com/?ctiid.319298
- https://github.com/nn0nkey/nn0nkey/blob/main/QYS/QYS_task.md
- https://nvd.nist.gov/vuln/detail/CVE-2025-8775
- https://cwe.mitre.org/data/definitions/434.html
- https://cwe.mitre.org/data/definitions/284.html
