PT-2025-35797 · Memos · Memos

Yaniv Nizry · Publicado 2025-09-03 · Atualizado 2025-09-22 · CVE-2025-56761

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Memos versão 0.22

Descrição A versão 0.22 do Memos é suscetível a Cross-Site Scripting (XSS) Armazenado através dos recursos de upload de anexos e avatar do usuário. O software não valida o tipo de conteúdo dos dados carregados antes de disponibilizá-los, potencialmente permitindo que um atacante autenticado escale privilégios quando o XSS armazenado for visualizado por um administrador.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-56761

GHSA-CGRG-86M5-XM4W

GO-2025-3937

OPENSUSE-SU-2025:15538-1

SUSE-SU-2025:03289-1

Produtos afetados

Memos

Referências · 51

• https://github.com/usememos/memos · Nota
• https://github.com/usememos/memos/blob/v0.24.0/server/router/api/v1/user_service.go#L147 · Nota
• https://github.com/usememos/memos/blob/v0.24.4/server/router/api/v1/resource_service.go#L48 · Nota
• https://suse.com/security/cve/CVE-2025-7445 · Nota
• https://suse.com/security/cve/CVE-2025-9076 · Nota
• https://suse.com/security/cve/CVE-2025-54123 · Nota
• https://github.com/advisories/GHSA-cgrg-86m5-xm4w · Nota
• https://suse.com/security/cve/CVE-2025-58063 · Nota
• https://suse.com/security/cve/CVE-2025-55190 · Nota
• https://osv.dev/vulnerability/GO-2025-3937 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-6203 · Nota
• https://suse.com/security/cve/CVE-2025-59361 · Nota
• https://suse.com/security/cve/CVE-2025-51667 · Nota
• https://suse.com/security/cve/CVE-2024-58259 · Nota
• https://t.me/cveNotify/134268 · Publicação no Telegram