PT-2025-33845 · Flaskblog · Flaskblog

Davidedc97 · Publicado 2025-08-19 · Atualizado 2025-08-22 · CVE-2025-55734

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: versões do flaskBlog 2.8.0 e anteriores

Descrição: A aplicação verifica o userRole para privilégios de "admin" apenas ao acessar a página /admin, mas não as suas subrotas. Especificamente, a verificação é realizada em routes/adminPanel.py, mas não em routes/adminPanelComments.py e routes/adminPanelPosts.py. Isso permite que usuários não autorizados contornem as restrições de acesso e acessem dados sensíveis nas seguintes páginas: /admin/posts, /adminpanel/posts, /admin/comments e /adminpanel/comments.

Recomendações: versões do flaskBlog anteriores à 2.8.0: Implemente verificações de controle de acesso baseado em funções para todas as subrotas da página /admin, incluindo routes/adminPanelComments.py e routes/adminPanelPosts.py, para garantir que apenas usuários autorizados possam acessar essas páginas.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-55734

GHSA-H239-VV39-V3VX

GHSA-JW79-2XVP-76P8

Produtos afetados

Flaskblog

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55734.json · Exploit
• 🔥 https://github.com/DogukanUrker/FlaskBlog/security/advisories/GHSA-h239-vv39-v3vx · Exploit
• 🔥 https://github.com/DogukanUrker/FlaskBlog/security/advisories/GHSA-jw79-2xvp-76p8 · Exploit
• https://t.me/CVEtracker/30389 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-55734 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-55734 · Nota de Segurança
• https://t.me/cveNotify/133227 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1957883550000140371 · Publicação no Twitter