PT-2025-35209 · Openatlas · Openatlas

Andrea Intilangelo · CVE-2025-40708 · Publicado 2025-08-29 · Atualizado 2025-09-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenAtlas versão 8.9.0

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) no OpenAtlas devido à validação insuficiente da entrada do usuário recebida por meio de solicitações POST. Isso poderia permitir que um usuário remoto enviasse requisições manipuladas para um usuário autenticado, potencialmente roubando os detalhes do cookie de sessão. A vulnerabilidade é disparada no endpoint da API /insert/event, especificamente através do parâmetro name.

Recomendações Garanta a validação e sanitização adequadas da entrada do usuário para o parâmetro name no endpoint da API /insert/event.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-40708

Produtos afetados

Openatlas

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/40xxx/CVE-2025-40708.json · Exploit
• https://github.com/craws/OpenAtlas · Nota
• https://twitter.com/SecAideInfo/status/1962459490474729627 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1961396065568973047 · Publicação no Twitter
• https://incibe.es/en/incibe-cert/notices/aviso/multiple-cross-site-scripting-xss-vulnerabilities-openatlas-acdh-ch · Nota
• https://osv.dev/vulnerability/CVE-2025-40708 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1961413155898192367 · Publicação no Twitter
• https://t.me/CVEtracker/31240 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-40708 · Nota de Segurança