PT-2025-21140 · Esri · Arcgis

Erez Kalman + 1 · Publicado 2025-05-14 · Atualizado 2025-05-17 · CVE-2025-0020

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.9

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:C/RE:X/U:Amber

Nome do Software Vulnerável e Versões Afetadas: ArcGIS (versões afetadas não especificadas)

Descrição: A implementação da API OAuth 2.0 client credentials do ArcGIS não adere aos RFCs/padrões, permitindo que um requisitante solicite uma expiração de token personalizada e não documentada do ArcGIS. Esta funcionalidade oculta permite abuso de privilégios, manipulação de campos ocultos e manipulação de configuração/ambiente.

Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Hidden Functionality

Enumeração de Fraquezas

CWE-912

CWE-657

CWE-684

Identificadores relacionados

CVE-2025-0020

Produtos afetados

Arcgis

Referências · 10

• 🔥 https://vulsec.org/advisories · Exploit
• https://t.me/latest_high_impact_cve/2361 · Publicação no Telegram
• https://twitter.com/CALIVEDATA/status/1923578115650978018 · Publicação no Twitter
• https://twitter.com/SpaceCyberSec/status/1923619700237533515 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1922695653458845835 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-0020 · Nota de Segurança
• https://developers.arcgis.com/documentation/security-and-authentication · Nota
• https://t.me/cvetracker/23813 · Publicação no Telegram
• https://t.me/cvenotify/122284 · Publicação no Telegram
• https://t.me/cvenotify/122093 · Publicação no Telegram