PT-2025-24500 · Unknown · Silverpeas

Mmoqui · Publicado 2025-06-09 · Atualizado 2025-06-25 · CVE-2025-45055

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Silverpeas versão 6.4.2

Descrição O problema decorre de uma vulnerabilidade de cross-site scripting (XSS) armazenado no módulo de gerenciamento de eventos. Esta vulnerabilidade permite que um usuário autenticado carregue um arquivo SVG malicioso como um anexo de evento. Quando um administrador visualiza este anexo, JavaScript incorporado é executado na sessão do administrador, permitindo que atacantes escalem privilégios criando uma nova conta de administrador. A vulnerabilidade é causada por sanitização insuficiente de arquivos SVG e proteções CSRF fracas.

Recomendações Para a versão 6.4.2 do Silverpeas, como uma solução temporária, considere desativar a capacidade do módulo de gerenciamento de eventos de carregar arquivos SVG até que um patch esteja disponível. Restrinja o acesso ao módulo de gerenciamento de eventos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-45055

Produtos afetados

Silverpeas

Referências · 7

• 🔥 https://medium.com/@mingihongkim/privilege-escalation-via-svg-injection-in-silverpeas-6-4-2-b5ab1d5b6955 · Exploit
• https://github.com/Silverpeas/Silverpeas-Core/pull/1394 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-45055 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1932218519233474659 · Publicação no Twitter
• https://t.me/cvenotify/126684 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-45055 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1932141193338691763 · Publicação no Twitter