PT-2025-40002 · Titansystems · Zender

Darklotus · Publicado 2025-09-30 · Atualizado 2025-12-23 · CVE-2025-56676

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas TitanSystems Zender versão 3.9.7

Descrição O TitanSystems Zender versão 3.9.7 apresenta uma vulnerabilidade de tomada de conta em sua funcionalidade de redefinição de senha. Uma senha temporária ou token de redefinição de um usuário pode ser usado para fazer login como outro usuário devido à validação incorreta da associação entre token e usuário. Isso permite que atacantes remotos obtenham acesso não autorizado a contas de usuário explorando o mecanismo de redefinição de senha. O problema ocorre porque o token de redefinição não está corretamente vinculado à conta que o solicitou e é aceito para outros e-mails de usuário durante o login, possibilitando escalonamento de privilégios e divulgação de informações.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

LPE

Enumeração de Fraquezas

CWE-1259

Identificadores relacionados

CVE-2025-56676

Produtos afetados

Zender

Referências · 7

• https://darklotus.medium.com/cve-2025-56676-critical-vulnerability-in-zender-gateway-allows-account-takeover-2b5bcb50c762 · Nota
• https://t.me/CVEtracker/33742 · Publicação no Telegram
• https://codecanyon.net/item/zender-android-mobile-devices-as-sms-gateway-saas-platform/26594230 · Nota
• https://twitter.com/CVEnew/status/2003567325090398565 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-56676 · Nota de Segurança
• https://previews.titansystems.ph/zender/dashboard/auth · Nota
• https://osv.dev/vulnerability/CVE-2025-56676 · Aviso do Fabricante