PT-2025-29230 · Jgm+1 · Pandoc+1

Realestname · Publicado 2025-07-11 · Atualizado 2026-01-24 · CVE-2025-51591

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.1

Média

Vetor base

AV:N/AC:H/Au:N/C:C/I:P/A:N

Nome do Software Vulnerável e Versões Afetadas JGM Pandoc versão 3.6.4

Descrição Existe uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor (SSRF) no JGM Pandoc versão 3.6.4. Esta falha permite que invasores comprometam potencialmente toda a infraestrutura ao injetar um iframe manipulado. Relatos indicam exploração ativa desta falha, com hackers visando o Serviço de Metadados de Instância (IMDS) da Amazon Web Services (AWS) para roubar credenciais IAM do EC2. A vulnerabilidade permite que invasores façam solicitações não autorizadas ao AWS IMDS. A exploração envolve a criação de elementos iframe HTML maliciosos.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BDU:2025-13963

CVE-2025-51591

Produtos afetados

Debian

Pandoc

Referências · 75

• 🔥 https://github.com/RealestName/Vulnerability-Research/tree/main/CVE-2025-51591 · Exploit
• 🔥 https://github.com/Malayke/CVE-2025-51591-Pandoc-SSRF-POC · Exploit
• https://github.com/jgm/pandoc/issues/10682 · Aviso do Fabricante
• https://github.com/jgm/pandoc/discussions/11200 · Nota
• https://github.com/jgm/pandoc/issues/11261 · Nota
• https://github.com/jgm/pandoc/issues/8874 · Nota
• https://github.com/jgm/pandoc/pull/11262 · Nota
• https://github.com/jgm/pandoc/commit/67edf7ce7cd3563a180ae44bd122b012e22364f8 · Correção
• https://twitter.com/shah_sheikh/status/1970753983078691214 · Publicação no Twitter
• https://twitter.com/lcopelandjr/status/1971692440848683159 · Publicação no Twitter
• https://twitter.com/TheCyberSecHub/status/1970753604144492728 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1943668153348960266 · Publicação no Twitter
• https://twitter.com/CyberWarship/status/1972988046912974993 · Publicação no Twitter
• https://twitter.com/SecurityAid/status/2015078823868424453 · Publicação no Twitter
• https://twitter.com/wvipersg/status/1970753666844860779 · Publicação no Twitter