PT-2025-17962 · Unknown+1 · Formidable+1

Tunnckocore · Publicado 2025-04-26 · Atualizado 2026-06-04 · CVE-2025-46653

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Formidable de 2.1.0 até 3.x anteriores à 3.5.3

Descrição A vulnerabilidade depende do hexoid para impedir a adivinhação de nomes de arquivos para conteúdo executável não confiável. No entanto, o hexoid está documentado como não sendo criptograficamente seguro. Há um cenário em que apenas os dois últimos caracteres de uma string hexoid precisam ser adivinhados.

Recomendações Para as versões de 2.1.0 até 3.x anteriores à 3.5.3, atualize para a versão 3.5.3 ou posterior para corrigir a vulnerabilidade.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-338

Identificadores relacionados

CVE-2025-46653

GHSA-75V8-2H7P-7M2M

Produtos afetados

Debian

Formidable

Referências · 22

• 🔥 https://github.com/zast-ai/vulnerability-reports/blob/main/formidable/file_upload/report.md · Exploit
• https://github.com/node-formidable/formidable/commit/022c2c5577dfe14d2947f10909d81b03b6070bf5 · Correção
• https://github.com/node-formidable/formidable/blob/d0fbec13edc8add54a1afb9ce1a8d3db803f8d47/CHANGELOG.md?plain=1#L10 · Nota
• https://github.com/node-formidable/formidable/commit/37a3e89fca1ed68ec674a539f13aafd62221ddaa · Nota
• https://github.com/node-formidable/formidable · Nota
• https://osv.dev/vulnerability/CVE-2025-46653 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-46653 · Nota de Segurança
• https://t.me/cvenotify/119919 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2025-46653 · Aviso do Fabricante
• https://t.me/cvetracker/22423 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2025-46653 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-46653 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-75v8-2h7p-7m2m · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2025-46653 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-46653 · Nota de Segurança