PT-2025-34903 · Basecamp+1 · Google Sign In+1

Muntrive · Publicado 2025-08-27 · Atualizado 2025-08-28 · CVE-2025-57821

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.2

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Basecamp Google Sign-In anteriores à 1.3.0

Descrição: Uma URL malformada pode burlar a verificação de "mesma origem", potencialmente redirecionando usuários para uma origem não pretendida. Este problema afeta aplicações Rails que utilizam a biblioteca e armazenam informações flash em um cookie de sessão, o que poderia ser encadeado a um ataque que permite injeção de dados arbitrários no cookie de sessão.

Recomendações: Versões do Basecamp Google Sign-In anteriores à 1.3.0: Atualize para a versão 1.3.0 ou superior. Versões do Basecamp Google Sign-In anteriores à 1.3.0: Se a atualização não for possível, defina explicitamente SameSite=Lax ou SameSite=Strict no cookie de sessão da aplicação para mitigar o ataque encadeado.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2025-57821

GHSA-7PWC-WH6M-44Q3

Produtos afetados

Google Sign In

Rails

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/57xxx/CVE-2025-57821.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/google_sign_in/CVE-2025-57821.yml · Exploit
• https://github.com/basecamp/google_sign_in/commit/85903651201257d4f14b97d4582e6d968ac32f15 · Nota
• https://github.com/basecamp/google_sign_in/security/advisories/GHSA-7pwc-wh6m-44q3 · Nota
• https://github.com/basecamp/google_sign_in/pull/73 · Nota
• https://github.com/basecamp/google_sign_in/releases/tag/v1.3.0 · Nota
• https://github.com/basecamp/google_sign_in · Nota
• https://github.com/basecamp/google_sign_in/commit/a0548a604fb17e4eb1a57029f0d87e34e8499623 · Nota
• https://twitter.com/VulmonFeeds/status/1960842252646793229 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-7pwc-wh6m-44q3 · Aviso do Fabricante
• https://t.me/CVEtracker/31039 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-57821 · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/1961192137359237558 · Publicação no Twitter
• https://twitter.com/Muntrive/status/1960804870006694105 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-57821 · Nota de Segurança