PT-2025-39827 · Unknown · Obsidian Scheduler

Greg Scharf · Publicado 2025-09-29 · Atualizado 2025-12-23 · CVE-2025-56449

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões 5.0.0 a 6.3.0 do Obsidian Scheduler

Descrição Existe uma vulnerabilidade de segurança na API REST do Obsidian Scheduler. Se uma conta for bloqueada devido à não configuração da Autenticação Multifator (MFA), a API REST continua a permitir o uso da Autenticação Básica para tarefas administrativas. Especificamente, a conta de administrador padrão, mesmo quando bloqueada através da interface web, permanece utilizável via API REST. Isso permite a criação de novos usuários privilegiados, contornando as proteções de MFA e enfraquecendo as medidas de segurança previstas. Os endpoints da API envolvidos permitem ações administrativas apesar do bloqueio da conta. O parâmetro vulnerável é o método de autenticação que permite a Autenticação Básica quando o MFA é exigido.

Recomendações Para as versões 5.0.0 a 6.3.0, restrinja o uso da Autenticação Básica quando o MFA for exigido.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2025-56449

Produtos afetados

Obsidian Scheduler

Referências · 6

• https://twitter.com/CVEnew/status/2003567337820107070 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-56449 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1972695356723937686 · Publicação no Twitter
• https://blog.gregscharf.com/2025/07/31/obsidian-scheduler-access-control-vulnerability · Nota
• https://blog.gregscharf.com/2025/07/11/upcoming-vulnerability-advisory · Nota
• https://wiki.obsidianscheduler.com/docs/Release_Notes#Obsidian_6.3.1 · Nota