TVN ID	TVN-202511012
CVE ID	CVE-2025-13768, CVE-2025-13769, CVE-2025-13770, CVE-2025-13771
CVSS	CVE-2025-13768： 7.5 (High) CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H CVE-2025-13769： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-13770： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-13771： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
影響產品	WebITR 2_1_0_33(含)以前版本
問題描述	CVE-2025-13768： WebITR差勤系統存在Authorization Bypass漏洞，已通過身分鑑別之遠端攻擊者可透過調整特定參數以任意使用者身分登入系統。攻擊者需先取得使用者識別編號才能利用此漏洞。 CVE-2025-13769： WebITR差勤系統存在SQL Injection漏洞，已通過身分鑑別之遠端攻擊者可注入任意SQL指令讀取資料庫內容。 CVE-2025-13770： WebITR差勤系統存在SQL Injection漏洞，已通過身分鑑別之遠端攻擊者可注入任意SQL指令讀取資料庫內容。 CVE-2025-13771： WebITR差勤系統存在Arbitrary File Read 漏洞，已通過身分鑑別之遠端攻擊者可利用Relative Path Traversal下載任意系統檔案。
解決方法	更新至2_1_0_34(含)以後版本
漏洞通報者	Linwz(DEVCORE)
公開日期	2025-11-28