PT-2025-26188 · Cryptpad · Cryptpad

Lachlan2K · Publicado 2025-06-18 · Atualizado 2025-08-11 · CVE-2025-49591

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do CryptPad anteriores à 2025.3.0

Descrição O problema envolve uma implementação fraca de controles de acesso no CryptPad, permitindo que um invasor que comprometa as credenciais de um usuário obtenha acesso à conta da vítima, mesmo que esta tenha a Autenticação de Dois Fatores (2FA) configurada. Isso ocorre porque a 2FA não é exigida se o parâmetro de caminho não tiver 44 caracteres de comprimento, o que pode ser contornado mediante a codificação URL de um único caractere no caminho.

Recomendações Para versões anteriores à 2025.3.0, atualize para a versão 2025.3.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a áreas sensíveis da aplicação para minimizar o risco de exploração. Evite utilizar caminhos com codificação URL nos endpoints de API afetados até que o problema seja resolvido.

Exploit

Correção

Improper Authentication

Improper Access Control

Enumeração de Fraquezas

CWE-287

CWE-284

Identificadores relacionados

CVE-2025-49591

GHSA-XQ5X-WGCM-3P33

Produtos afetados

Cryptpad

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49591.json · Exploit
• https://github.com/cryptpad/cryptpad · Nota
• https://github.com/cryptpad/cryptpad/security/advisories/GHSA-xq5x-wgcm-3p33 · Aviso do Fabricante
• https://github.com/cryptpad/cryptpad/commit/f624f9d457d36040f57c7598d98a8b9461b79837 · Correção
• https://github.com/cryptpad/cryptpad/commit/0c5d4bbf5e5206d53470ea86a664fa2b703fb611 · Correção
• https://github.com/cryptpad/cryptpad/blob/15c81aa8ccb737a9a1167481f4a699af331364bb/lib/http-worker.js#L356-L364 · Nota
• https://twitter.com/VulmonFeeds/status/1935480898142499109 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-49591 · Nota de Segurança
• https://t.me/cvenotify/126130 · Publicação no Telegram
• https://t.me/cveNotify/131710 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-49591 · Aviso do Fabricante
• https://t.me/latest_high_impact_cve/2713 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1935723280994082943 · Publicação no Twitter
• https://t.me/cvetracker/26532 · Publicação no Telegram