FICHE CVE

CVE-2025-13283

Publiée le 2025-11-17 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Le logiciel TenderDocTransfer est vulnérable à une attaque permettant à un acteur distant de copier n'importe quel fichier de votre système pour le coller dans un autre répertoire local. En incitant un utilisateur à cliquer sur un lien malveillant (hameçonnage), un attaquant peut contourner l'authentification pour divulguer des données sensibles ou saturer votre disque dur avec des copies redondantes de fichiers volumineux. Cette exploitation nécessite l'interaction de l'utilisateur, mais peut être réalisée via un réseau sans accès préalable au système.

CVSS 4.07.0 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Cross-site request forgery (CSRF) · CWE-352

Publiée2025-11-17

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

TenderDocTransfer developed by Chunghwa Telecom has a Arbitrary File Copy and Paste vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability. Attackers can copy arbitrary files on the user's system and paste them into any path, which poses a potential risk of information leakage or could consume hard drive space by copying files in large volumes.