PT-2025-48587 · Tencent+1 · Hunyuandit

Gothburz + 1 · CVE-2025-13712 · Publicado 2025-12-01 · Atualizado 2025-12-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Tencent HunyuanDiT (versões afetadas não especificadas)

Descrição Existe uma falha no Tencent HunyuanDiT que permite a invasores remotos executar código arbitrário. A exploração requer interação do usuário, como visitar uma página maliciosa ou abrir um arquivo malicioso. O problema deve-se à validação insuficiente de dados fornecidos pelo usuário no endpoint merge, levando à desserialização de dados não confiáveis. Uma exploração bem-sucedida pode permitir que um invasor execute código no contexto de root.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-13712

ZDI-25-1028

Produtos afetados

Hunyuandit

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/13xxx/CVE-2025-13712.json · Exploit
• https://github.com/Tencent-Hunyuan/HunyuanDiT/commit/d2cb9cde5c9dc6a6c01735dcb92fe7699ddf6bc5 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-13712 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-25-1028 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-13712 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2003700530238148780 · Publicação no Twitter