PT-2025-40256 · Fiora · Fiora

Kaio Mendonça Pereira · Publicado 2025-10-01 · Atualizado 2025-10-06 · CVE-2025-56515

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Aplicação de chat Fiora versões 1.0.0 a 1.0.0

Descrição A aplicação de chat Fiora possui uma falha de upload de arquivos relacionada à funcionalidade de upload de avatar do usuário. A aplicação não valida adequadamente o conteúdo de arquivos SVG. Isso permite que arquivos SVG maliciosos, contendo elementos foreignObject com tags iframe e manipuladores de eventos JavaScript como onmouseover, sejam carregados e armazenados. Quando esses arquivos SVG são renderizados, eles executam JavaScript arbitrário. Isso pode levar ao roubo de sessões e cookies de usuários e permitir que atacantes realizem ações não autorizadas no contexto de usuários que visualizam perfis afetados.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Unrestricted File Upload

Enumeração de Fraquezas

CWE-79

CWE-434

Identificadores relacionados

CVE-2025-56515

GHSA-2C6J-VW6R-MFCH

Produtos afetados

Fiora

Referências · 9

• 🔥 https://github.com/Kov404/CVE-2025-56515/tree/main · Exploit
• https://github.com/yinxin630/fiora · Nota
• https://osv.dev/vulnerability/CVE-2025-56515 · Aviso do Fabricante
• https://t.me/CVEtracker/33855 · Publicação no Telegram
• https://twitter.com/cracbot/status/1975154127874228554 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1973429144244363384 · Publicação no Twitter
• https://fiora.suisuijiang.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-56515 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-2c6j-vw6r-mfch · Aviso do Fabricante