PT-2025-13577 · Leantime · Leantime

CVE-2025-28254 · Publicado 2025-02-21 · Atualizado 2025-04-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Leantime 3.2.1 e anteriores

Descrição O problema permite que um atacante autenticado execute código arbitrário e obtenha informações sensíveis por meio do campo first name na função processMentions(). Esta é uma vulnerabilidade de Cross Site Scripting.

Recomendações Para as versões 3.2.1 e anteriores do Leantime, como uma medida de contorno temporária, considere restringir o acesso à função processMentions() até que um patch esteja disponível. Evite usar o campo first name na funcionalidade afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

CVE-2025-28254

GHSA-95J3-435G-VJCP

GHSA-JF6P-4HGV-V6QH

Produtos afetados

Leantime

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/28xxx/CVE-2025-28254.json · Exploit
• https://github.com/Leantime/leantime · Nota
• https://github.com/Leantime/leantime/blob/0e7ddbbe3d582f657a1dddfef7b3419ae588cbf7/app/Domain/Notifications/Services/Notifications.php#L128 · Nota
• https://github.com/Leantime/leantime/commit/ce1d2073e4601183e1bdd90f4b433d16aee46a50 · Correção
• https://github.com/Leantime/leantime/security/advisories/GHSA-95j3-435g-vjcp · Aviso do Fabricante
• https://t.me/cvenotify/118007 · Publicação no Telegram
• https://twitter.com/dailycve/status/1909283883104809131 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-28254 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1905811740257894838 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-95j3-435g-vjcp · Aviso do Fabricante
• https://t.me/cvedetector/21487 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1905861408094405066 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-jf6p-4hgv-v6qh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-28254 · Nota de Segurança
• https://t.me/cvetracker/20228 · Publicação no Telegram