PT-2025-10631 · Passbolt · Passbolt Api

David Silva · Publicado 2025-03-10 · Atualizado 2025-03-11 · CVE-2025-27913

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões da API Passbolt anteriores à 5

Descrição O problema ocorre quando o servidor está mal configurado, especificamente devido a um processo de instalação incorreto e à desconsideração dos resultados do Health Check. Nesses casos, a API Passbolt pode enviar mensagens de e-mail com um nome de domínio obtido a partir de um cabeçalho HTTP Host controlado por um atacante.

Recomendações Para versões anteriores à 5, assegure uma configuração adequada do servidor, seguindo o processo de instalação correto e aderindo aos resultados do Health Check para prevenir a exploração. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de e-mail até que o problema seja resolvido.

Correção

Enumeração de Fraquezas

CWE-348

Identificadores relacionados

CVE-2025-27913

Produtos afetados

Passbolt Api

Referências · 8

• https://osv.dev/vulnerability/CVE-2025-27913 · Aviso do Fabricante
• https://twitter.com/CVETracker/status/1899551082738569496 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-27913 · Nota de Segurança
• https://passbolt.com/incidents/host-header-injection · Aviso do Fabricante
• https://t.me/cvedetector/19987 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1899197300129644892 · Publicação no Twitter
• https://t.me/cvenotify/114157 · Publicação no Telegram
• https://t.me/cvetracker/18846 · Publicação no Telegram