PT-2025-43525 · Unknown+1 · Axewater Sharewarez+1

Publicado 2025-10-23 · Atualizado 2025-10-28 · CVE-2025-61136

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

Nome do Software Vulnerável e Versões Afetadas axewater sharewarez versão 2.4.3

Descrição Existe uma falha de Injeção de Cabeçalho Host na funcionalidade de redefinição de senha do software. Isso permite que atacantes remotos potencialmente assumam o controle de contas ao manipular o cabeçalho Host durante a geração do link de redefinição de senha, especificamente quando url for( external=True) do Flask é utilizado sem um SERVER NAME definido. A vulnerabilidade permite o envenenamento de redefinição de senha. O componente afetado é o componente de redefinição de senha.

Recomendações Garanta que um SERVER NAME fixo esteja configurado ao utilizar a função url for( external=True) do Flask para gerar links de redefinição de senha.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-61136

Produtos afetados

Flask

Axewater Sharewarez

Referências · 10

• https://github.com/axewater/sharewarez/blob/d04c90b7dc3fbae1596f731d1b168d3fb9fdd2df/modules/utils_smtp.py#L191-L206 · Nota
• https://github.com/axewater/sharewarez/blob/d04c90b7dc3fbae1596f731d1b168d3fb9fdd2df/modules/routes_login.py#L188-L217 · Nota
• https://drive.google.com/file/d/15X5L1uEqgWOLrjKqm96cEPAWp2ph0zJp/view?usp=sharing · Nota
• https://osv.dev/vulnerability/CVE-2025-61136 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1983126646615093455 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-61136 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1981415276802408489 · Publicação no Twitter
• https://gist.github.com/BrookeYangRui/145e529b5fd4f56af299efde37edf4fa · Nota
• https://portswigger.net/web-security/host-header/exploiting/password-reset-poisoning · Nota
• https://twitter.com/CVEnew/status/1981379258040606922 · Publicação no Twitter