TVN ID	TVN-202508003
CVE ID	CVE-2025-9254, CVE-2025-9255, CVE-2025-9256, CVE-2025-9257, CVE-2025-9258, CVE-2025-9259
CVSS	CVE-2025-9254： 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2025-9255： 7.5 (High) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVE-2025-9256： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-9257： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-9258： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-9259： 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
影響產品	WebITR 2_1_0_32(含)以前版本
問題描述	Missing Authentication(CVE-2025-9254)： 未經身分鑑別之遠端攻擊者可利用特定功能以任意使用者身分登入系統。 SQL Injection(CVE-2025-9255)： 未經身分鑑別之遠端攻擊者可注入任意SQL指令讀取資料庫內容。 Arbitrary File Reading(CVE-2025-9256, CVE-2025-9257, CVE-2025-9258, CVE-2025-9259)： 已取得一般權限之遠端攻擊者可利用Absolute Path Traversal下載任意系統檔案。
解決方法	更新至2_1_0_33(含)以後版本
漏洞通報者	Linwz(DEVCORE)
公開日期	2025-08-20