PT-2025-27496 · Gluu Flex+1 · Gluu Flex+1

Pujavs · Publicado 2025-06-30 · Atualizado 2025-07-15 · CVE-2025-53003

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Janssen Project anteriores à 1.8.0 Versões do Gluu Flex anteriores à 5.8.0

Descrição: O Janssen Project é uma plataforma de gerenciamento de identidade e acesso (IAM) de código aberto. Antes da versão 1.8.0, a API de Configuração retorna resultados sem verificação de escopo, expondo uma grande superfície de ataque interna que inclui informações do IDP, como clientes, usuários, scripts, etc. Este problema foi corrigido na versão 1.8.0.

Recomendações: Para versões do Janssen Project anteriores à 1.8.0, atualize imediatamente para a versão 1.8.0. Para versões do Gluu Flex anteriores à 5.8.0, atualize imediatamente para a versão 5.8.0. Como solução temporária, os usuários podem fazer um fork e compilar a API de configuração, aplicando a correção em seu sistema seguindo o commit 92eea4d.

Exploit

Correção

Improper Access Control

Information Disclosure

Improper Privilege Management

Enumeração de Fraquezas

CWE-284

CWE-200

CWE-269

Identificadores relacionados

CVE-2025-53003

GHSA-373J-MHPF-84WG

Produtos afetados

Gluu Flex

Janssen Project

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53003.json · Exploit
• 🔥 https://github.com/JanssenProject/jans/issues/11575 · Exploit
• https://github.com/JanssenProject/jans · Nota
• https://github.com/JanssenProject/jans/security/advisories/GHSA-373j-mhpf-84wg · Nota
• https://github.com/JanssenProject/jans/commit/92eea4d4637f1cae16ad2f07b2c16378ff3fc5f1 · Nota
• https://github.com/JanssenProject/jans/releases/tag/v1.8.0 · Nota
• https://github.com/GluuFederation/flex/releases/tag/v5.8.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-53003 · Nota de Segurança
• https://twitter.com/CVEnew/status/1939886094213927160 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-373j-mhpf-84wg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-53003 · Aviso do Fabricante
• https://t.me/cvenotify/127201 · Publicação no Telegram
• https://t.me/cvetracker/27479 · Publicação no Telegram
• https://twitter.com/jmdevlabs/status/1945233475050635661 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1939887131955970294 · Publicação no Twitter