PT-2025-22815 · Dnn · Dnn

Bdukes + 1 · Publicado 2025-02-19 · Atualizado 2025-11-03 · CVE-2025-48378

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas DNN (anteriormente DotNetNuke) versões anteriores à 9.13.9

Descrição O problema diz respeito à plataforma de gerenciamento de conteúdo web de código aberto DNN (anteriormente DotNetNuke), que faz parte do ecossistema Microsoft. Nas versões afetadas, arquivos SVG carregados poderiam conter scripts. Caso esses arquivos SVG sejam renderizados inline, os scripts poderiam ser executados, permitindo ataques de cross-site scripting (XSS).

Recomendações Para versões anteriores à 9.13.9, atualize para a versão 9.13.9 para resolver o problema. Como solução temporária, considere restringir o carregamento de arquivos SVG ou desabilitar a renderização de arquivos SVG inline até que a atualização possa ser aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2025-02485

CVE-2025-48378

GHSA-M4HF-FXCG-CP34

Produtos afetados

Dnn

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48378.json · Exploit
• https://github.com/dnnsoftware/Dnn.Platform · Nota
• https://github.com/dnnsoftware/Dnn.Platform/releases/tag/v9.13.9 · Nota
• https://github.com/dnnsoftware/Dnn.Platform/security/advisories/GHSA-m4hf-fxcg-cp34 · Aviso do Fabricante
• https://github.com/dnnsoftware/Dnn.Platform/commit/cfed83c291d5e5072b2fa70924a8b7c35b1cdf9e · Correção
• https://t.me/cvetracker/24557 · Publicação no Telegram
• https://t.me/cveNotify/133457 · Publicação no Telegram
• https://twitter.com/dailycve/status/1983690856524869901 · Publicação no Twitter
• https://t.me/cveNotify/141413 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1926244424708747419 · Publicação no Twitter
• https://t.me/cveNotify/140765 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m4hf-fxcg-cp34 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-48378 · Aviso do Fabricante
• https://t.me/CVEtracker/36009 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-02485 · Nota de Segurança