PT-2025-35122 · Valtimo · Valtimo
Theo-Ritense
·
Publicado
2025-08-28
·
Atualizado
2025-12-27
·
CVE-2025-58059
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Valtimo anteriores a 12.16.0
Versões do Valtimo de 13.0.0 a 13.1.1
Descrição
O Valtimo é uma plataforma de Automação de Processos de Negócio. Administradores com a capacidade de criar, modificar e executar definições de processo poderiam obter acesso a dados ou recursos sensíveis. Isso inclui a execução de executáveis no host da aplicação, inspeção e extração de dados do ambiente do host ou das propriedades da aplicação, e acesso a beans do Spring (contexto da aplicação, pooling de banco de dados). Para realizar este ataque, um usuário deve estar logado com a função de administrador e possuir conhecimento sobre a execução de scripts via engine Camunda/Operator.
Recomendações
Atualize para a versão 12.16.0 ou posterior do Valtimo.
Atualize para a versão 13.1.2 ou posterior do Valtimo.
Se a execução de scripts não for necessária em nenhum processo, desabilite-a via ProcessEngineConfiguration. Note que esta solução alternativa pode causar efeitos colaterais inesperados.
Exploit
Correção
RCE
Information Disclosure
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Valtimo