漏洞概述
Opto22 Groov Manage维护应用程序端点存在远程代码执行漏洞。攻击者可以创建特制请求，在执行时将在以root身份运行的Opto Edge Web应用程序上下文中实现远程代码执行。
受影响版本
- 受影响版本：3.2.0 至 4.0.2
- 已修复版本：4.0.3
漏洞描述
当对 /manage/api/v1/maintenance/update/apply 端点执行POST请求时，应用程序会从请求中读取 uploader-file-id 头，并不安全地使用此值构建删除文件的命令，允许攻击者注入任意命令，这些命令将以root权限执行。
识别与修复
该问题在Red Team X评估期间被发现，并在CVE-2025-13087中披露。此后问题已得到解决，并为客户提供了修复程序。
严重程度
中等 - CVSS总体评分：6.7/10
CVSS v3基础指标
- 攻击向量：网络
- 攻击复杂度：低
- 所需权限：高
- 用户交互：无
- 范围：未改变
- 机密性：高
- 完整性：高
- 可用性：低
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
CVE标识
CVE-2025-13087
致谢
- ismai1337 - 发现者
- tsytsarkin - 发现者
