PT-2025-22371 · Typo3 · Femanager

CVE-2025-48202 · Publicado 2025-05-20 · Atualizado 2025-12-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões da extensão femanager anteriores à 8.2.2

Descrição A falha permite que atacantes visualizem dados de usuários do frontend. Isso é realizado por meio de uma Referência Direta a Objeto Insegura (IDOR) na extensão femanager do TYPO3, na qual atacantes podem explorar um parâmetro user no newAction do newController.

Recomendações Para versões anteriores à 8.2.2, atualize para a versão 8.2.2 ou posterior para corrigir a falha. Como solução alternativa temporária, considere restringir o acesso ao newAction do newController para minimizar o risco de exploração. Evite utilizar o parâmetro user no endpoint afetado até que a falha seja corrigida.

Exploit

Correção

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-284

CWE-639

CWE-425

Identificadores relacionados

BDU:2025-05996

CVE-2025-48202

GHSA-XXWR-WV9G-7JW3

Produtos afetados

Femanager

Referências · 9

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/in2code/femanager/CVE-2025-48202.yaml · Exploit
• https://github.com/in2code-de/femanager · Nota
• https://github.com/in2code-de/femanager/commit/54851f8f60254bd8060bdf7bc16d56f4de7bd828 · Nota
• https://bdu.fstec.ru/vul/2025-05996 · Nota de Segurança
• https://typo3.org/security/advisory/typo3-ext-sa-2025-006 · Nota
• https://osv.dev/vulnerability/GHSA-xxwr-wv9g-7jw3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48202 · Nota de Segurança
• https://twitter.com/CVEnew/status/2005031812670570928 · Publicação no Twitter
• https://t.me/cvetracker/24383 · Publicação no Telegram