PT-2025-16015 · Unknown+1 · Fusiondirectory+1

Dockx + 1 · Publicado 2025-04-10 · Atualizado 2025-04-11 · CVE-2025-32807

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do FusionDirectory anteriores à 1.5

Descrição: Uma vulnerabilidade de path traversal no FusionDirectory permite que atacantes remotos leiam arquivos arbitrários no host que terminam em .png (e .svg ou .xpm em algumas configurações) por meio do parâmetro icon de uma requisição GET para "geticon.php".

Recomendações: Para versões anteriores à 1.5, atualize para a versão 1.5 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso ao endpoint "geticon.php" ou desabilitar o parâmetro icon até que um patch seja aplicado.

Correção

Enumeração de Fraquezas

CWE-24

Identificadores relacionados

CVE-2025-32807

Produtos afetados

Debian

Fusiondirectory

Referências · 17

• https://twitter.com/transilienceai/status/1910551883539771461 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2025-32807 · Aviso do Fabricante
• https://gitlab.fusiondirectory.org/fusiondirectory/fd/-/commit/9edefd0b367450d665a141c5e94db8a06d208556 · Nota
• https://gitlab.fusiondirectory.org/fusiondirectory/fd/-/blob/e9304844fb5c8ce4a9af9e26858af5e22e15b9bd/include/class_IconTheme.inc#L233-237 · Nota
• https://twitter.com/transilienceai/status/1910551888543506642 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-32807 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-32807 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32807 · Nota de Segurança
• https://t.me/cvedetector/22690 · Publicação no Telegram
• https://t.me/cvenotify/118778 · Publicação no Telegram
• https://gitlab.fusiondirectory.org/fusiondirectory/fd/-/blob/e9304844fb5c8ce4a9af9e26858af5e22e15b9bd/Changelog.md?plain=1#L112 · Nota
• https://twitter.com/CVEnew/status/1910499265740161176 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1910551889327890646 · Publicação no Twitter
• https://t.me/cvetracker/21358 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-32807 · Aviso do Fabricante