PT-2025-23075 · Dinorank · Dinorank

Pablo Alcarria · Publicado 2025-05-28 · Atualizado 2025-05-28 · CVE-2025-40673

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas DinoRANK (versões afetadas não especificadas)

Descrição Foi identificada uma falha de Autorização Ausente, permitindo que um atacante acesse faturas de qualquer usuário. Isso é possível ao acessar o endpoint "/facturas/YYYY-MM/SDRYYMM-XXXXX.pdf" devido à falta de controle de acesso. O nome do arquivo PDF pode ser obtido através de OSINT, tráfego de rede inseguro ou força bruta.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-40673

Produtos afetados

Dinorank

Referências · 6

• https://twitter.com/CVEnew/status/1927684916663513093 · Publicação no Twitter
• https://t.me/cvenotify/123811 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-40673 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1927691178436116710 · Publicação no Twitter
• https://incibe.es/en/incibe-cert/notices/aviso/missing-authorization-dinorank · Nota
• https://t.me/cvetracker/24812 · Publicação no Telegram