PT-2025-17314 · Unknown · Namelessmc

Vz0N · Publicado 2025-04-18 · Atualizado 2025-04-18 · CVE-2025-32389

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do NamelessMC anteriores à 2.1.4

Descrição O problema está relacionado a uma injeção de SQL ocorrida ao fornecer uma sintaxe inesperada de parâmetro GET com colchetes. Esta sintaxe refere-se à estrutura ?param[0]=a&param[1]=b&param[2]=c utilizada pelo PHP, que é interpretada pelo PHP como $ GET['param'] sendo do tipo array.

Recomendações Para versões anteriores à 2.1.4, atualize para a versão 2.1.4 para resolver o problema. Como medida de contorno temporária, considere restringir o acesso aos endpoints da API que utilizam a sintaxe de parâmetro GET com colchetes até que a atualização seja aplicada. Evite utilizar a sintaxe de colchetes em parâmetros GET nas versões afetadas até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-32389

GHSA-5984-MHCP-CQ2X

Produtos afetados

Namelessmc

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32389.json · Exploit
• https://github.com/NamelessMC/Nameless/commit/02c81c7c45b98fad1ebe3bc085efae18aec4566f · Correção
• https://github.com/NamelessMC/Nameless/releases/tag/v2.1.4 · Nota
• https://github.com/NamelessMC/Nameless/security/advisories/GHSA-5984-mhcp-cq2x · Aviso do Fabricante
• https://t.me/cvedetector/23310 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1913312931108048960 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-32389 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-32389 · Aviso do Fabricante
• https://t.me/cvetracker/21933 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/2158 · Publicação no Telegram