PT-2025-29132 · Unknown · Matrix-Sdk

Poljar · Publicado 2025-07-10 · Atualizado 2025-07-17 · CVE-2025-53549

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.2

Média

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas: matrix-sdk versões 0.11 a 0.12

Descrição: Existe uma vulnerabilidade de injeção de SQL no método EventCache::find event with relations. Isso permite que membros maliciosos da sala executem comandos SQL arbitrários em clientes Matrix que passam diretamente tipos de relação fornecidos por esses membros da sala para este método, quando utilizado com o backend de armazenamento padrão baseado em SQLite. A exploração é improvável, pois nenhum cliente conhecido utiliza atualmente a API desta forma.

Recomendações: Passe apenas tipos de relação confiáveis ou sanitizados para o argumento filter do método EventCache::find event with relations(). Atualize para a versão 0.13.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-53549

GHSA-275G-G844-73JH

OPENSUSE-SU-2025:15351-1

RUSTSEC-2025-0043

Produtos afetados

Matrix-Sdk

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53549.json · Exploit
• https://github.com/matrix-org/matrix-rust-sdk · Nota
• https://github.com/matrix-org/matrix-rust-sdk/security/advisories/GHSA-275g-g844-73jh · Nota
• https://github.com/matrix-org/matrix-rust-sdk/pull/4849 · Nota
• https://github.com/matrix-org/matrix-rust-sdk/commit/d0c01006e4808db5eb96ad5c496416f284d8bd3c · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2025:15351-1 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1943700225551417833 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-53549 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-275g-g844-73jh · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2025-0043.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-53549 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-53549 · Nota
• https://crates.io/crates/matrix-sdk-sqlite · Nota
• https://osv.dev/vulnerability/RUSTSEC-2025-0043 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1943481945234555313 · Publicação no Twitter