PT-2025-32686 · Kanboard · Kanboard

Bryanqb07 · Publicado 2025-08-12 · Atualizado 2025-08-25 · CVE-2025-55010

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do Kanboard anteriores à 1.2.47

Descrição: O Kanboard é um software de gerenciamento de projetos baseado na metodologia Kanban. Um problema de desserialização em ProjectEventActvityFormatter permite que administradores instanciem objetos PHP arbitrários ao modificar o campo event["data"] na tabela project activities. Um atacante pode atualizar este campo para usar um gadget PHP para escrever um web shell na pasta /plugins, resultando em execução remota de código no sistema hospedeiro.

Recomendações: Atualize o Kanboard para a versão 1.2.47 ou posterior.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-55010

GHSA-359X-C69J-Q64R

Produtos afetados

Kanboard

Referências · 12

• 🔥 https://github.com/kanboard/kanboard/security/advisories/GHSA-359x-c69j-q64r · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55010.json · Exploit
• https://github.com/kanboard/kanboard/commit/7148ac092e5db6b33e0fc35e04bca328d96c1f6f · Correção
• https://github.com/kanboard/kanboard/blob/b033c0e0f982f8158e240bce8ab54c29727f8efe/app/Formatter/ProjectActivityEventFormatter.php#L43-L57 · Nota
• https://security-tracker.debian.org/tracker/CVE-2025-55010 · Aviso do Fabricante
• https://twitter.com/Hossted_OSS/status/1959872546951803262 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1955300691225845843 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-55010 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1955303406374941132 · Publicação no Twitter
• https://t.me/cveNotify/131877 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-55010 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-55010 · Nota de Segurança