PT-2025-35097 · Formcms · Formcms

Kkc73 + 1 · Publicado 2025-08-28 · Atualizado 2025-08-29 · CVE-2025-56236

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas FormCms versão 0.5.5

Descrição O FormCms versão 0.5.5 contém uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de upload de avatar. Usuários autenticados podem enviar arquivos .html contendo JavaScript malicioso, que ficam acessíveis através de uma URL pública. Quando um usuário privilegiado acessa o arquivo, o script é executado no contexto do navegador dele.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Unrestricted File Upload

Enumeração de Fraquezas

CWE-79

CWE-434

Identificadores relacionados

CVE-2025-56236

GHSA-4FXF-XGRM-8FCJ

Produtos afetados

Formcms

Referências · 8

• 🔥 https://github.com/FormCms/FormCms/issues/27 · Exploit
• 🔥 https://github.com/KKC73/me/blob/main/CVE-2025-56236/README.md · Exploit
• https://github.com/formcms/formcms · Nota
• https://twitter.com/VulmonFeeds/status/1961231379196190982 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-56236 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4fxf-xgrm-8fcj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-56236 · Nota de Segurança
• https://twitter.com/CVEnew/status/1961085436371370441 · Publicação no Twitter