CVE-2025-59099

The Access Manager is using the open source web server CompactWebServer written in C#. This web server is affected by a path traversal vulnerability, which allows an attacker to directly access files via simple GET requests without prior authentication. Hence, it is possible to retrieve all files stored on the file system, including the SQLite database Database.sq3, containing badge information and the corresponding PIN codes. Additionally, when trying to access certain files, the web server crashes and becomes unreachable for about 60 seconds. This can be abused to continuously send the request and cause denial of service.

The Access Manager is using the open source web server CompactWebServer written in C#. This web server is affected by a path traversal vulnerability, which allows an attacker to directly access files via simple GET requests without prior authentication. Hence, it is possible to retrieve all files stored on the file system, including the SQLite database Database.sq3, containing badge information and the corresponding PIN codes. Additionally, when trying to access certain files, the web server crashes and becomes unreachable for about 60 seconds. This can be abused to continuously send the request and cause denial of service.

El Gestor de Acceso está utilizando el servidor web de código abierto CompactWebServer escrito en C#. Este servidor web está afectado por una vulnerabilidad de salto de ruta, que permite a un atacante acceder directamente a archivos mediante simples solicitudes GET sin autenticación previa. Por lo tanto, es posible recuperar todos los archivos almacenados en el sistema de archivos, incluyendo la base de datos SQLite Database.sq3, que contiene información de credenciales y los códigos PIN correspondientes. Además, al intentar acceder a ciertos archivos, el servidor web falla y se vuelve inalcanzable durante aproximadamente 60 segundos. Esto puede ser explotado para enviar continuamente la solicitud y causar denegación de servicio.