PT-2025-10984 · Unknown · Lovecardsv2

Publicado 2025-03-12 · Atualizado 2025-03-17 · CVE-2025-2219

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: LoveCards LoveCardsV2 versões 2.3.0 a 2.3.2

Descrição: Um problema crítico afeta o processamento do arquivo /api/upload/image. A manipulação do argumento file resulta em upload sem restrições. O ataque pode ser iniciado remotamente. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações: Para as versões 2.3.0 a 2.3.2 do LoveCards LoveCardsV2, considere desabilitar o endpoint /api/upload/image até que um patch esteja disponível para prevenir uploads de arquivos sem restrições. Restrinja o acesso a este endpoint para minimizar o risco de exploração. Evite usar o argumento file no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-2219

Produtos afetados

Lovecardsv2

Referências · 10

• 🔥 https://ctf-n0el4kls.notion.site/LoveCardsV2-Unauthentication-to-RCE-Vulnerability-19841990f44780de8263c1f77a007a83 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-2219 · Nota de Segurança
• https://twitter.com/cracbot/status/1901589389492576350 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1953 · Publicação no Telegram
• https://twitter.com/vulns_space/status/1899640125073621108 · Publicação no Twitter
• https://vuldb.com/?id.299291 · Nota
• https://vuldb.com/?ctiid.299291 · Nota
• https://t.me/cvenotify/114404 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-2219 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1899713897101193378 · Publicação no Twitter