一、 漏洞 CVE-2025-61138 基础信息
漏洞信息
# N/A
## 概述
Qlik Sense Enterprise v14.212.13 存在一个信息泄露漏洞，攻击者可通过访问 `/dev-hub/` 目录获取敏感信息。
## 影响版本
- Qlik Sense Enterprise: v14.212.13
## 细节
- 漏洞路径：`/dev-hub/` 目录
- 漏洞类型：信息泄露（Information Leak）
- 无需身份验证即可访问该目录，导致系统可能暴露内部结构或调试信息。
## 影响
- 攻击者可通过该漏洞获取潜在的敏感数据或系统配置信息。
- 可能为后续攻击提供入侵线索或便利条件。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Qlik Sense Enterprise v14.212.13 was discovered to contain an information leak via the /dev-hub/ directory.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Qlik Sense Enterprise 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Qlik Sense Enterprise是美国Qlik公司的一个数据分析平台。 Qlik Sense Enterprise v14.212.13版本存在安全漏洞，该漏洞源于/dev-hub/目录可能导致信息泄露。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-61138 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | CVE-2025-61138 | https://github.com/Israel0x00/poc-qlik | POC详情 |
三、漏洞 CVE-2025-61138 的情报信息
标题： CVE-2025-61138.txt · GitHub -- 🔗来源链接
标签：
神龙速读：### 关键漏洞信息 - **CVE ID**: CVE-2025-61138 - **漏洞发现者**: Israel A - **发现日期**: 2025年9月6日 - **公开披露日期**: 2025年10月28日 #### 描述 Qlik Sense Enterprise v14.212.13 版本通过 `/dev-hub/` 目录存在信息泄露漏洞。 #### 补充信息 - Qlik 应用程序用于通过仪表板呈现结构化数据。 - DEV-HUB 面板被直接暴露在互联网上，允许查看开发信息和 API 令牌等敏感信息。 - 认证通过匿名会话令牌进行，无需用户登录。 - 此面板在多个使用相同工具的门户中被识别。 - 与 Qlik 巴西代表的供应商会议于2025年4月举行，问题已知，但无可用修复方案。 - 管理环境会议于2025年4月举行，建议从外部 DNS 中移除 `/dev-hub/` 目录以作为变通方案。 - 注：CVE-2024-55580 (远程代码执行) 已修复，但此次暴露未得到解决。 #### 漏洞详情 - **类型**: 不安全的权限 - **厂商**: Qlik - **产品**: Qlik Sense Enterprise - **版本**: v14.212.13 - **组件**: `/dev-hub/` 目录 - **攻击类型**: 远程 - **影响**: 信息披露(是) - **CWE**: https://cwe.mitre.org/data/definitions/732.html #### 攻击向量与重现方式 直接在任意浏览器中访问该面板，无需身份验证提示： - https://paineisanalytics.cnj.jus.br/dev-hub/ -> 暴露 - https://transparencia.stf.jus.br/dev-hub/ -> 缓解(已从 DNS 中移除) - https://dados.tjrj.jus.br/dev-hub/ -> 缓解(已从 DNS 中移除) #### 概念验证 - POC URL: https://github.com/user-attachments/assets/7c556499-7721-4682-a376-c1b272e33a38 - 完整PoC 仓库: https://github.com/Israel0x00/poc-qlik/tree/main #### 缓解措施 - 从外部 DNS 中移除 `/dev-hub/` 目录。 - 强制进行认证。 - 限制对内部网络的访问。 发现者: Israel A ``` 从截图中提取的关键信息包括CVE身份、漏洞类型、影响的产品和版本、攻击向量、一个概念验证、以及建议的缓解措施。这些信息对理解和应对该漏洞至关重要。
- https://nvd.nist.gov/vuln/detail/CVE-2025-61138
四、漏洞 CVE-2025-61138 的评论
暂无评论