PT-2025-18213 · Unknown · Khc-Invitation-Automation

Ekrishnachaitanya2004 · Publicado 2025-04-29 · Atualizado 2025-04-30 · CVE-2025-46552

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas KHC-INVITATION-AUTOMATION versão 1.2

Descrição O problema refere-se a um script de automação do GitHub no qual dados de usuário, incluindo endereços de e-mail e nomes de usuário do Discord, foram expostos nas respostas da API sem controles de acesso adequados. Isso permitiu que usuários não autorizados acessassem informações sensíveis de usuário chamando diretamente endpoints específicos.

Recomendações Para o KHC-INVITATION-AUTOMATION versão 1.2, atualize para um commit posterior no qual o problema foi corrigido. Como solução temporária, considere restringir o acesso aos endpoints da API que expõem dados de usuário até que a atualização seja aplicada.

Correção

Improper Access Control

Information Disclosure

Enumeração de Fraquezas

CWE-284

CWE-200

Identificadores relacionados

CVE-2025-46552

GHSA-7MPF-6GG2-2FJP

Produtos afetados

Khc-Invitation-Automation

Referências · 8

• https://github.com/Krypto-Hashers-Community/KHC-INVITATION-AUTOMATION/commit/bc908a4ef538b24d4543ae95a413be6afa308bf5 · Nota
• https://github.com/Krypto-Hashers-Community/KHC-INVITATION-AUTOMATION/security/advisories/GHSA-7mpf-6gg2-2fjp · Nota
• https://osv.dev/vulnerability/CVE-2025-46552 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-46552 · Nota de Segurança
• https://t.me/cvedetector/24061 · Publicação no Telegram
• https://t.me/cvetracker/22665 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1917350780618604723 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1917415220978319637 · Publicação no Twitter