PT-2025-42756 · Unknown · Tawk Live Chat

Publicado 2025-10-20 · Atualizado 2025-10-20 · CVE-2025-8349

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Tawk Live Chat (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no Tawk Live Chat. Um atacante pode executar código JavaScript no navegador de uma vítima ao fazer upload de um arquivo PDF malicioso contendo um payload JavaScript através do chatbot. A aplicação armazena o PDF e o exibe sem a sanitização adequada para outros usuários, permitindo a execução do código malicioso. Isso pode levar ao roubo de dados sensíveis do usuário, como cookies de sessão, ou à realização de ações em nome do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-8349

Produtos afetados

Tawk Live Chat

Referências · 7

• https://t.me/CVEtracker/35302 · Publicação no Telegram
• https://twitter.com/incibe_cert/status/1980207730494234715 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1980216992406606224 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1980219578018898317 · Publicação no Twitter
• https://t.me/cveNotify/139371 · Publicação no Telegram
• https://incibe.es/en/incibe-cert/notices/aviso/cross-site-scripting-xss-stored-tawk-live-chat · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-8349 · Nota de Segurança