PT-2025-18113 · Novel · Novel

Rorochan · Publicado 2025-04-28 · Atualizado 2025-04-28 · CVE-2025-4036

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas 201206030 Novel versão 3.5.0

Descrição Um problema crítico afeta a função updateBookChapter do arquivo src/main/java/io/github/xxyopen/novel/controller/author/AuthorController.java do componente Chapter Handler, resultando em controles de acesso inadequados. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu.

Recomendações Como solução temporária, considere desativar a função updateBookChapter até que um patch esteja disponível. Restrinja o acesso ao componente Chapter Handler para minimizar o risco de exploração. Evite usar a função updateBookChapter no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Improper Access Control

Incorrect Privilege Assignment

Enumeração de Fraquezas

CWE-284

CWE-266

Identificadores relacionados

CVE-2025-4036

Produtos afetados

Novel

Referências · 9

• 🔥 https://github.com/Sinon2003/cve/blob/main/novel/Novel%20%20has%20a%20logic%20authorization%20bypass%20vulnerability%20in%20AuthorController.md · Exploit
• https://vuldb.com/?id.306401 · Nota
• https://vuldb.com/?submit.558414 · Nota
• https://twitter.com/CVEnew/status/1916949635605680296 · Publicação no Twitter
• https://t.me/cvedetector/23951 · Publicação no Telegram
• https://vuldb.com/?ctiid.306401 · Nota
• https://t.me/cvetracker/22566 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-4036 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-4036 · Nota de Segurança