PT-2025-27857 · Cockpit · Cockpit

Matans · Publicado 2025-07-04 · Atualizado 2025-07-20 · CVE-2025-7053

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Cockpit até a 2.11.3

Descrição: Foi identificada uma falha no processamento do arquivo /system/users/save, na qual a manipulação do argumento name ou email resulta em cross-site scripting. O ataque pode ser iniciado remotamente. Estima-se que essa falha possa afetar um número desconhecido de dispositivos, mas o número exato não é especificado. Não há informações sobre incidentes reais nos quais essa falha tenha sido explorada.

Recomendações: Para as versões do Cockpit até a 2.11.3, atualize para a versão 2.11.4 para corrigir essa falha. Como solução alternativa temporária, considere restringir o acesso ao arquivo /system/users/save até que a atualização seja aplicada. Evite utilizar os argumentos name e email no processamento afetado até que a falha seja resolvida.

Exploit

Correção

Code Injection

XSS

Enumeração de Fraquezas

CWE-94

CWE-79

Identificadores relacionados

CVE-2025-7053

GHSA-J4RJ-FGCQ-WMQP

Produtos afetados

Cockpit

Referências · 11

• 🔥 https://vuldb.com/?submit.605594 · Exploit
• https://github.com/Cockpit-HQ/Cockpit · Nota
• https://github.com/Cockpit-HQ/Cockpit/commit/bdcd5e3bc651c0839c7eea807f3eb6af856dbc76 · Correção
• https://github.com/Cockpit-HQ/Cockpit/releases/tag/2.11.4 · Correção
• https://osv.dev/vulnerability/GHSA-j4rj-fgcq-wmqp · Aviso do Fabricante
• https://vuldb.com/?id.314819 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-7053 · Nota de Segurança
• https://twitter.com/jmdevlabs/status/1947078774752788988 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-7053 · Aviso do Fabricante
• https://vuldb.com/?ctiid.314819 · Nota
• https://twitter.com/VulmonFeeds/status/1940985668655522167 · Publicação no Twitter