PT-2025-31370 · Umbraco · Umbraco

Andy Butland · Publicado 2025-07-29 · Atualizado 2025-07-30 · CVE-2025-54425

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Umbraco 13.0.0 a 13.9.2 Versões do Umbraco 15.0.0 a 15.4.1 Versões do Umbraco 16.0.0 a 16.1.0

Descrição A API de entrega de conteúdo do Umbraco pode ser restrita para exigir uma chave de API em um cabeçalho para autorização. O cache de saída também pode ser configurado para melhorar o desempenho. Existe uma falha quando ambos os recursos estão habilitados simultaneamente, pois o cache não diferencia as solicitações com base no cabeçalho da chave de API. Isso permite que um usuário não autorizado recupere respostas em cache para um caminho e consulta específicos se uma solicitação com uma chave válida tiver sido feita recentemente.

Recomendações Versões do Umbraco 13.0.0 a 13.9.2: Atualize para a versão 13.9.3 ou posterior. Versões do Umbraco 15.0.0 a 15.4.1: Atualize para a versão 15.4.4 ou posterior. Versões do Umbraco 16.0.0 a 16.1.0: Atualize para a versão 16.1.1 ou posterior. Como solução alternativa, remova ou reduza o período de tempo do cache de saída. Como solução alternativa, implemente restrições adicionais para acessar a API de entrega, como por endereço IP.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2025-54425

GHSA-75VQ-QVHR-7FFR

Produtos afetados

Umbraco

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54425.json · Exploit
• https://github.com/umbraco/Umbraco-CMS · Nota
• https://github.com/umbraco/Umbraco-CMS/commit/9f37db18d11c8ba4e3ecdeb35291af30ebee7cd0 · Correção
• https://github.com/umbraco/Umbraco-CMS/commit/da43086017e1e318f6b5373391d78421efebce3a · Correção
• https://github.com/umbraco/Umbraco-CMS/commit/7e82c258eebaa595eadc9b000461e27d02bc030e · Correção
• https://github.com/umbraco/Umbraco-CMS/security/advisories/GHSA-75vq-qvhr-7ffr · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-54425 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-54425 · Aviso do Fabricante
• https://docs.umbraco.com/umbraco-cms/reference/content-delivery-api · Nota
• https://osv.dev/vulnerability/GHSA-75vq-qvhr-7ffr · Aviso do Fabricante
• https://twitter.com/VolerionSec/status/1950562753246101959 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1950562086628823066 · Publicação no Twitter
• https://t.me/CVEtracker/28742 · Publicação no Telegram