PT-2025-48065 · Primakon · Primakon Pi Portal

CVE-2025-64062 · Publicado 2025-11-25 · Atualizado 2025-12-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Primakon Pi Portal versão 1.0.18

Descrição O endpoint /api/V2/pp users?email carece de validação adequada no lado do servidor em relação à sessão autenticada. Manipular o parâmetro email para um valor arbitrário, como [e-mail], permite que um invasor assuma uma sessão e obtenha acesso total aos dados e privilégios do usuário alvo. Deixar o parâmetro email em branco faz com que a aplicação utilize como padrão o primeiro usuário da lista, normalmente o administrador da aplicação, resultando em elevação de privilégios.

Recomendações Primakon Pi Portal versão 1.0.18: Implementar validação robusta no lado do servidor para o parâmetro email no endpoint /api/V2/pp users?email para garantir que ele corresponda à sessão autenticada.

Exploit

Correção

LPE

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2025-64062

Produtos afetados

Primakon Pi Portal

Referências · 7

• 🔥 https://github.com/n3k7ar91/Vulnerabilites/blob/main/Primakon/CVE-2025-64062.md · Exploit
• https://t.me/CVEtracker/38211 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1993391925282394384 · Publicação no Twitter
• https://t.me/cveNotify/144394 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64062 · Nota de Segurança
• https://primakon.com/rjesenja/primakon-pcm · Nota
• https://osv.dev/vulnerability/CVE-2025-64062 · Aviso do Fabricante