PT-2025-13522 · W3Css · W3Css Validator

Ajohnston9 · Publicado 2025-03-28 · Atualizado 2025-08-01 · CVE-2025-1781

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.4

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas Versões do W3CSS Validator anteriores a cssval-20250226

Descrição O problema está relacionado a um ataque XXE (Entidade Externa XML) no W3CSS Validator, o que permite a um invasor usar objetos XML especialmente criados para forçar uma falsificação de solicitação do lado do servidor (SSRF). Isso poderia ser explorado para ler arquivos locais arbitrários se um invasor tiver acesso a mensagens de exceção.

Recomendações Para versões anteriores a cssval-20250226, atualize para uma versão que inclua a correção para este problema, pois o uso de objetos XML especialmente criados pode levar à falsificação de solicitação do lado do servidor (SSRF) e à exposição de arquivos locais. Como solução temporária, considere restringir o acesso à funcionalidade de análise XML no W3CSS Validator até que uma correção esteja disponível.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2025-1781

GHSA-745M-XMQ6-G6X7

Produtos afetados

W3Css Validator

Referências · 7

• https://github.com/google/security-research/security/advisories/GHSA-745m-xmq6-g6x7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-1781 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1905674334808731972 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1781 · Nota de Segurança
• https://t.me/cveNotify/130585 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1905621677247009010 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1905663707318763960 · Publicação no Twitter