PT-2025-30061 · Pypi+5 · Form-Data+5
Benweissmann
·
Publicado
2025-07-18
·
Atualizado
2026-06-04
·
CVE-2025-7783
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Versões do form-data < 2.5.4
Versões do form-data de 3.0.0 a 3.0.3
Versões do form-data de 4.0.0 a 4.0.3
Descrição
Existe uma vulnerabilidade na biblioteca JavaScript form-data devido ao uso de valores insuficientemente aleatórios na geração de valores de boundary para dados codificados em formulário multipart. Essa previsibilidade permite que atacantes manipulem requisições HTTP, potencialmente injetando parâmetros maliciosos em sistemas de backend. A vulnerabilidade surge da utilização da função
Math.random() pela biblioteca, que é conhecida por ser pseudoaleatória e previsível. Um atacante que consiga observar os valores de Math.random() gerados pela aplicação pode prever valores futuros, incluindo o valor de boundary, e construir um payload malicioso. Isso pode levar à Poluição de Parâmetros HTTP (HPP) e potencialmente à Execução Remota de Código (RCE). A vulnerabilidade requer que a aplicação utilize o form-data com dados controlados pelo usuário e exponha os valores de Math.random().Recomendações
Atualize para a versão 4.0.4 do form-data.
Atualize para a versão 3.0.4 do form-data.
Atualize para a versão 2.5.4 do form-data.
Exploit
Correção
RCE
Use of Insufficiently Random Values
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astra Linux
Debian
Linuxmint
Suse
Ubuntu
Form-Data