PT-2025-34165 · Sha.Js+3 · Sha.Js+3

Chalker · Publicado 2025-08-20 · Atualizado 2026-06-04 · CVE-2025-9288

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do sha.js até a 2.4.11

Descrição Existe uma vulnerabilidade de validação inadequada de entrada no sha.js, permitindo a manipulação de dados de entrada. Esta falha pode levar a colisões de hash e, potencialmente, à extração de chave privada, ameaçando aplicações web. A vulnerabilidade decorre da falta de verificações de tipo de entrada, que permitem o uso de tipos de dados diferentes do esperado, resultando em comportamento indefinido, incluindo o retrocesso do estado do hash e o potencial de transformar hashes com tag em hashes sem tag. A exploração pode envolver a manipulação da propriedade de comprimento dos dados de entrada para gerar colisões ou causar condições de negação de serviço.

Recomendações Atualize o sha.js para a versão 2.4.12 ou posterior.

Exploit

Correção

DoS

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

AZL-66570

CVE-2025-9288

DLA-4302-1

DSA-6002-1

GHSA-95M3-7Q98-8XR5

USN-7778-1

Produtos afetados

Debian

Linuxmint

Ubuntu

Sha.Js

Referências · 39

• 🔥 https://github.com/browserify/sha.js/security/advisories/GHSA-95m3-7q98-8xr5 · Exploit
• https://github.com/browserify/sha.js/pull/78 · Correção
• https://github.com/browserify/sha.js · Nota
• https://github.com/browserify/sha.js/commit/f2a258e9f2d0fcd113bfbaa49706e1ac0d979ba5 · Nota
• https://twitter.com/VulmonFeeds/status/1958455687119278128 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-9288 · Aviso do Fabricante
• https://twitter.com/Komodosec/status/1972424715802431583 · Publicação no Twitter
• https://reddit.com/r/CyberDudeBivash/comments/1mx59ip/cve20259288_critical_flaw_in_popular_javascript · Publicação no Reddit
• https://twitter.com/offseq/status/1958318289387413850 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2025-9287 · Nota de Segurança
• https://t.me/msrcreports/2868 · Publicação no Telegram
• https://t.me/pentestingnews/66744 · Publicação no Telegram
• https://twitter.com/defhawk_specter/status/1990283757786476674 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2025-9288 · Aviso do Fabricante
• https://twitter.com/fernandokarl/status/1958771657734033410 · Publicação no Twitter