PT-2025-3906 · Unknown · Pmb Platform

Pau Valls Peleteiro · Publicado 2025-01-16 · Atualizado 2025-01-18 · CVE-2025-0473

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões 4.0.10 e superiores da Plataforma PMB

Descrição O problema reside na funcionalidade de upload de arquivos no endpoint /pmb/authorities/import/iimport authorities. Quando um arquivo é enviado por meio deste recurso, o servidor cria um arquivo temporário que deveria ser excluído após o cliente enviar uma requisição POST para /pmb/authorities/import/iimport authorities. No entanto, um atacante pode interceptar e enviar a segunda requisição POST para impedir que o arquivo temporário seja excluído. Isso permite que um atacante persista arquivos temporários no servidor.

Recomendações Para as versões 4.0.10 e superiores da Plataforma PMB, como medida de contorno temporária, considere restringir o acesso ao endpoint /pmb/authorities/import/iimport authorities para minimizar o risco de exploração. Além disso, evite utilizar a funcionalidade de upload de arquivos até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-459

Identificadores relacionados

CVE-2025-0473

Produtos afetados

Pmb Platform

Referências · 8

• https://twitter.com/WolfgangSesin/status/1879909777678999552 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-0473 · Nota de Segurança
• https://incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-pmb-platform · Nota
• https://twitter.com/CVEnew/status/1880625661402079597 · Publicação no Twitter
• https://t.me/cvenotify/107623 · Publicação no Telegram
• https://t.me/cvedetector/15582 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-0473 · Aviso do Fabricante
• https://twitter.com/WolfgangSesin/status/1879909771588915515 · Publicação no Twitter