PT-2025-47516 · Homarr · Homarr

Publicado 2025-11-19 · Atualizado 2025-11-21 · CVE-2025-64759

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Homarr anteriores à 1.43.3

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado no Homarr Dashboard. A vulnerabilidade permite a execução de JavaScript arbitrário no navegador do usuário com interação mínima do usuário. Isso ocorre devido à renderização de um arquivo SVG malicioso enviado. Um invasor poderia potencialmente adicionar sua conta ao grupo "credentials-admin", obtendo acesso administrativo total caso um administrador visualize a página que renderiza o SVG.

Recomendações Atualize para a versão 1.43.3 ou posterior.

Exploit

Correção

LPE

Unrestricted File Upload

RCE

Enumeração de Fraquezas

CWE-434

CWE-20

Identificadores relacionados

CVE-2025-64759

GHSA-WJ62-C5GR-2X53

Produtos afetados

Homarr

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64759.json · Exploit
• https://github.com/homarr-labs/homarr/security/advisories/GHSA-wj62-c5gr-2x53 · Aviso do Fabricante
• https://github.com/homarr-labs/homarr/commit/aaa23f37321be1e110f722b36889b2fd3bea2059 · Correção
• https://osv.dev/vulnerability/CVE-2025-64759 · Aviso do Fabricante
• https://t.me/cveNotify/143572 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64759 · Nota de Segurança
• https://twitter.com/CVEnew/status/1991409470396633136 · Publicação no Twitter
• https://twitter.com/gothburz/status/1991631499460837695 · Publicação no Twitter
• https://t.me/CVEtracker/37775 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1991238002660503697 · Publicação no Twitter