PT-2025-21575 · Auth0 · Auth0/Wordpress+3

Sideni · Publicado 2025-05-15 · Atualizado 2025-05-20 · CVE-2025-47275

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Auth0-PHP de 8.0.0-BETA1 a 8.13.x

Descrição: Este problema afeta aplicações que utilizam o SDK Auth0-PHP configurado com CookieStore, onde cookies de sessão possuem tags de autenticação que podem ser submetidas a ataques de força bruta, potencialmente resultando em acesso não autorizado. Esta questão requer pré-condições específicas para ser vulnerável: o uso do SDK Auth0-PHP ou SDKs relacionados (Auth0/symfony, Auth0/laravel-auth0 e Auth0/wordpress) que dependem do SDK Auth0-PHP, e armazenamento de sessão configurado com CookieStore.

Recomendações: Atualize o Auth0/Auth0-PHP para a versão v8.14.0 para receber a correção. Como medida de precaução adicional, rotacione as chaves de criptografia dos cookies. Observe que, uma vez atualizado, quaisquer cookies de sessão anteriores serão rejeitados.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2025-47275

GHSA-2F4R-34M4-3W8Q

GHSA-9FWJ-9MJF-RHJ3

GHSA-9WG9-93H9-J8CH

GHSA-G98G-R7GF-2R25

Produtos afetados

Auth0-Php

Auth0/Laravel-Auth0

Auth0/Symfony

Auth0/Wordpress

Referências · 30

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/47xxx/CVE-2025-47275.json · Exploit
• https://github.com/auth0/auth0-PHP · Nota
• https://github.com/auth0/auth0-PHP/commit/52a79480fdb246f59dbc089b81a784ae049bd389 · Nota
• https://github.com/auth0/auth0-PHP/releases/tag/8.14.0 · Nota
• https://github.com/auth0/auth0-PHP/security/advisories/GHSA-g98g-r7gf-2r25 · Nota
• https://github.com/auth0/laravel-auth0 · Nota
• https://github.com/auth0/laravel-auth0/commit/be2c59adb476c49945dcc55741a54c7a68c1741d · Nota
• https://github.com/auth0/laravel-auth0/security/advisories/GHSA-9fwj-9mjf-rhj3 · Nota
• https://github.com/auth0/laravel-auth0/releases/tag/7.17.0 · Nota
• https://github.com/auth0/wordpress · Nota
• https://github.com/auth0/wordpress/releases/tag/5.3.0 · Nota
• https://github.com/auth0/wordpress/security/advisories/GHSA-2f4r-34m4-3w8q · Nota
• https://github.com/auth0/wordpress/commit/06b64468089472d8b62c881708be7eb3749b35ac · Nota
• https://github.com/auth0/symfony · Nota
• https://github.com/auth0/symfony/security/advisories/GHSA-9wg9-93h9-j8ch · Nota