PT-2025-42509 · Vfront · Vfront

Publicado 2025-10-16 · Atualizado 2025-10-17 · CVE-2025-60641

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Vfront versão 0.99.52

Descrição O arquivo mexcel.php contém uma chamada vulnerável para unserialize(base64 decode($ POST['mexcel'])). O parâmetro $ POST['mexcel'] é uma entrada controlada pelo usuário que é decodificada de base64 e desserializada sem validação. Isso permite que um atacante injete objetos PHP arbitrários, potencialmente levando à Execução Remota de Código (RCE), Injeção de SQL, Path Traversal ou Negação de Serviço, dependendo das classes exploráveis. O parâmetro vulnerável é mexcel.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida de contorno temporária, restrinja o acesso ao arquivo mexcel.php. Evite usar o parâmetro mexcel em requisições POST para o arquivo afetado.

Correção

DoS

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-60641

Produtos afetados

Vfront

Referências · 6

• http://vfront.com · Nota
• https://twitter.com/VulmonFeeds/status/1979023228249968772 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1978932566481867145 · Publicação no Twitter
• https://xancatos.org/cve202560641 · Nota
• https://t.me/CVEtracker/35123 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-60641 · Nota de Segurança