PT-2025-23673 · Auth0 · Auth0/Wordpress+3

Kelvinzhu-Okta · Publicado 2025-06-03 · Atualizado 2025-06-06 · CVE-2025-48951

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Versões do Auth0-PHP de 8.0.0-BETA3 até 8.14.0

Descrição O problema ocorre devido à desserialização insegura de dados de cookie. Se explorada, um ator de ameaça poderia enviar um cookie especialmente construído contendo dados serializados maliciosos, pois o SDK processa o conteúdo do cookie sem autenticação prévia. Aplicações que utilizam o SDK Auth0-PHP, bem como aquelas que utilizam os SDKs Auth0/symfony, Auth0/laravel-auth0 ou Auth0/wordpress, são afetadas porque dependem das versões vulneráveis do SDK Auth0-PHP.

Recomendações Para as versões de 8.0.0-BETA3 até 8.14.0, atualize para a versão 8.14.0 para corrigir a falha de segurança. Como solução temporária, considere restringir o processamento do conteúdo do cookie para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

CWE-1395

Identificadores relacionados

CVE-2025-48951

GHSA-862M-5253-832R

GHSA-98J6-67V3-MW34

GHSA-C42H-56WX-H85Q

GHSA-V9M8-9XXP-Q492

Produtos afetados

Auth0-Php

Auth0/Laravel-Auth0

Auth0/Symfony

Auth0/Wordpress

Referências · 28

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48951.json · Exploit
• https://github.com/auth0/auth0-PHP · Nota
• https://github.com/auth0/auth0-PHP/commit/52a79480fdb246f59dbc089b81a784ae049bd389 · Nota
• https://github.com/auth0/auth0-PHP/security/advisories/GHSA-v9m8-9xxp-q492 · Nota
• https://github.com/auth0/auth0-PHP/commit/04b1f5daa8bdfebc5e740ec5ca0fb2df1648a715 · Nota
• https://github.com/auth0/laravel-auth0 · Nota
• https://github.com/auth0/laravel-auth0/security/advisories/GHSA-c42h-56wx-h85q · Nota
• https://github.com/auth0/wordpress · Nota
• https://github.com/auth0/wordpress/security/advisories/GHSA-862m-5253-832r · Nota
• https://github.com/auth0/symfony · Nota
• https://github.com/auth0/symfony/security/advisories/GHSA-98j6-67v3-mw34 · Nota
• https://osv.dev/vulnerability/GHSA-v9m8-9xxp-q492 · Aviso do Fabricante
• https://t.me/cvetracker/25322 · Publicação no Telegram
• https://twitter.com/zoomeye_team/status/1930462375670624469 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1930010219788042262 · Publicação no Twitter