PT-2025-41260 · Vaahcms · Vaahcms

Thawphone · Publicado 2025-10-08 · Atualizado 2025-10-10 · CVE-2025-61183

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas vaahcms versão 2.3.1

Descrição Existe uma vulnerabilidade de cross-site scripting no vaahcms versão 2.3.1. Um atacante remoto pode potencialmente executar código arbitrário através do método de upload dentro da função storeAvatar() do arquivo UserBase.php.

Recomendações Atualize o vaahcms para uma versão mais recente que corrija este problema. Como solução temporária, restrinja o acesso à função storeAvatar() no arquivo UserBase.php.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-61183

GHSA-Q769-PHQG-263R

Produtos afetados

Vaahcms

Referências · 9

• 🔥 https://github.com/webreinvent/vaahcms/issues/301 · Exploit
• 🔥 https://github.com/thawphone/CVE-2025-61183 · Exploit
• https://github.com/webreinvent/vaahcms · Nota
• https://osv.dev/vulnerability/CVE-2025-61183 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q769-phqg-263r · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1o30vje/resumen_diario_de_vulnerabilidades_10102025 · Publicação no Reddit
• https://t.me/CVEtracker/34450 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-61183 · Nota de Segurança
• https://twitter.com/CVEnew/status/1975977622879236404 · Publicação no Twitter