PT-2025-41233 · Opnform · Opnform

Balejin · Publicado 2025-10-08 · Atualizado 2025-10-08 · CVE-2025-11438

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas JhumanJ OpnForm versões até 1.9.3

Descrição Existe uma ausência de verificação de autorização no endpoint da API responsável pelo gerenciamento de domínios personalizados, localizado em /custom-domains. Isso permite a manipulação não autorizada das configurações de domínios personalizados. A vulnerabilidade afeta código desconhecido dentro do arquivo /custom-domains do componente de Endpoint da API. O exploit foi divulgado publicamente.

Recomendações Aplique o patch beb153ce52dceb971c1518f98333328c95f1ba20.

Exploit

Correção

Incorrect Authorization

Missing Authorization

Enumeração de Fraquezas

CWE-863

CWE-862

Identificadores relacionados

CVE-2025-11438

Produtos afetados

Opnform

Referências · 12

• 🔥 https://docs.google.com/document/d/1GUjJA9vUbsXUngAv6ySsbCIhVynf8_djardLZYEDOe0/edit?tab=t.0#heading=h.gm61tyll8uys · Exploit
• https://github.com/JhumanJ/OpnForm/pull/900/commits/beb153ce52dceb971c1518f98333328c95f1ba20 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-11438 · Nota de Segurança
• https://twitter.com/transilienceai/status/1975865730097619415 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1975865739287404740 · Publicação no Twitter
• https://vuldb.com/?id.327375 · Nota
• https://vuldb.com/?submit.666879 · Nota
• https://t.me/CVEtracker/34417 · Publicação no Telegram
• https://t.me/cveNotify/137770 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1975831142264938576 · Publicação no Twitter
• https://vuldb.com/?ctiid.327375 · Nota
• https://osv.dev/vulnerability/CVE-2025-11438 · Aviso do Fabricante