FICHE CVE

CVE-2025-13282

Publiée le 2025-11-17 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les utilisateurs de TenderDocTransfer risquent de voir des fichiers arbitraires supprimés de leurs systèmes locaux. Un attaquant distant non authentifié peut déclencher cette action en incitant un utilisateur connecté à cliquer sur un lien malveillant (hameçonnage), exploitant ainsi l'absence de protection CSRF et une faille de traversée de chemin (path traversal) pour effacer des fichiers. Comme cela nécessite une interaction de l'utilisateur mais aucun privilège particulier, l'attaque est simple à exécuter si une cible peut être attirée vers un site malveillant.

CVSS 4.07.0 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Cross-site request forgery (CSRF) · CWE-352

Publiée2025-11-17

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

TenderDocTransfer developed by Chunghwa Telecom has a Arbitrary File Delete vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability, allowing attackers to delete arbitrary files on the user's system.