PT-2025-39803 · Unknown · Pmticket Project-Management-Software

Allan Njuguna · Publicado 2025-09-29 · Atualizado 2025-10-04 · CVE-2025-11135

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas pmTicket Project-Management-Software versões anteriores a 2ef379da2075f4761a2c9029cf91d073474e7486

Descrição Existe uma falha no pmTicket Project-Management-Software relacionada à desserialização de dados. O problema está localizado na função loadLanguage dentro do arquivo classes/class.database.php, parte do componente Cookie Handler. A manipulação do argumento user id pode desencadear essa desserialização. O ataque pode ser realizado remotamente. O exploit está disponível publicamente. O software utiliza entrega contínua com lançamentos contínuos (rolling releases), e o fornecedor não respondeu às tentativas de divulgação antecipada.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Deserialization of Untrusted Data

RCE

Enumeração de Fraquezas

CWE-502

CWE-20

Identificadores relacionados

CVE-2025-11135

Produtos afetados

Pmticket Project-Management-Software

Referências · 9

• 🔥 https://asciinema.org/a/kTWHQMM7n6QH98gGCW3e7T9xT · Exploit
• https://twitter.com/cracbot/status/1974429331586683334 · Publicação no Twitter
• https://vuldb.com/?id.326212 · Nota
• https://t.me/CVEtracker/33606 · Publicação no Telegram
• https://t.me/cveNotify/136764 · Publicação no Telegram
• https://vuldb.com/?ctiid.326212 · Nota
• https://vuldb.com/?submit.657302 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11135 · Nota de Segurança
• https://drive.google.com/file/d/18T4Gpzic0OQ-hzZWR6YoJ127QV3Jxyxe/view · Nota