PT-2025-32419 · Craft · Craft

Segfault-It · Publicado 2025-08-08 · Atualizado 2025-08-09 · CVE-2025-54417

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Craft de 4.13.8 a 4.16.2 Versões do Craft de 5.5.8 a 5.8.3

Descrição Craft é uma plataforma para criação de experiências digitais. Existe uma vulnerabilidade que permite contornar medidas de segurança, potencialmente levando à execução remota de código (RCE) com uma chave de segurança comprometida. Para explorar essa questão, um invasor deve possuir uma chave de segurança comprometida e a capacidade de criar um arquivo arbitrário na pasta /storage/backups do Craft. A exploração envolve o envio de uma solicitação maliciosa ao endpoint /updater/restore-db, permitindo a execução de comandos CLI remotamente.

Recomendações Versões do Craft anteriores à 4.16.3 Versões do Craft anteriores à 5.8.4

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-54417

GHSA-2VCF-QXV3-2MGW

Produtos afetados

Craft

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54417.json · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/commit/a19d46be78a9ca1ea474012a10e97bed0d787f57 · Correção
• https://github.com/craftcms/cms/security/advisories/GHSA-2vcf-qxv3-2mgw · Nota
• https://osv.dev/vulnerability/CVE-2025-54417 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-23209 · Nota de Segurança
• https://t.me/cveNotify/131538 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1954014378073940134 · Publicação no Twitter
• https://t.me/CVEtracker/29559 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-2vcf-qxv3-2mgw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-54417 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1954015696787997019 · Publicação no Twitter