PT-2025-33731 · Unknown · Plesk Obsidian

Aziz · Publicado 2025-08-19 · Atualizado 2025-09-26 · CVE-2025-54336

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plesk Obsidian versão 18.0.70

Descrição: A função isAdminPasswordValid no Plesk Obsidian utiliza uma comparação fraca (==) que permite a um atacante burlar a senha de administrador se a senha correta estiver no formato "0e" seguido por qualquer string de dígitos. Um atacante pode então fazer login usando qualquer string que avalie para 0.0, como "0e0". Este problema está localizado no arquivo admin/plib/LoginManager.php. Estima-se que aproximadamente 11,6 milhões de serviços sejam afetados em todo o mundo.

Recomendações: Plesk Obsidian versão 18.0.70: Atualize para uma versão mais recente que corrija este problema de bypass de autenticação. Como solução temporária, considere restringir o acesso ao arquivo admin/plib/LoginManager.php até que uma correção esteja disponível.

Correção

Enumeração de Fraquezas

CWE-697

Identificadores relacionados

CVE-2025-54336

Produtos afetados

Plesk Obsidian

Referências · 20

• https://support.plesk.com/hc/en-us/articles/33785727869847-Vulnerability-CVE-2025-54336 · Nota
• https://t.me/pentestingnews/66601 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1957800450889249224 · Publicação no Twitter
• https://t.me/cveNotify/133486 · Publicação no Telegram
• https://reddit.com/r/CVEWatch/comments/1mx2e0z/top_10_trending_cves_22082025 · Publicação no Reddit
• https://twitter.com/zoomeye_team/status/1958363839004901556 · Publicação no Twitter
• https://twitter.com/fofabot/status/1958066694649462789 · Publicação no Twitter
• https://twitter.com/ncsc_gov_ie/status/1958488097189933131 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-54336 · Nota de Segurança
• https://twitter.com/HunterMapping/status/1958366230449897512 · Publicação no Twitter
• https://t.me/CVEtracker/30358 · Publicação no Telegram
• https://twitter.com/grok/status/1960914567573442706 · Publicação no Twitter
• https://blog.aziz.tn/2025/08/cve-2025-54336.html · Nota
• https://twitter.com/Komodosec/status/1971591414082687087 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1mxxkel/top_10_trending_cves_23082025 · Publicação no Reddit