PT-2025-49320 · Unknown · Xerrors Yuxi-Know

Din4 · Publicado 2025-12-05 · Atualizado 2025-12-06 · CVE-2025-14116

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:L/Au:M/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas xerrors Yuxi-Know versões até 0.4.0

Descrição Existe uma condição de falsificação de requisição no lado do servidor na função OtherEmbedding.aencode dentro do arquivo /src/models/embed.py. A manipulação do argumento health url pode acionar este problema, permitindo exploração remota. O fornecedor confirmou a vulnerabilidade e implementou medidas de segurança, incluindo a desativação da análise de URL, modo de upload de URL e conversão de URL para markdown. O exploit está disponível publicamente.

Recomendações Aplique o patch 0ff771dc1933d5a6b78f804115e78a7d8625c3f3.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-14116

Produtos afetados

Xerrors Yuxi-Know

Referências · 10

• 🔥 https://notion.so/SSRF-vulnerablity-in-Yuxi-Know-2afea92a3c4180bea524f1a253f8d9a0?source=copy_link · Exploit
• https://github.com/xerrors/Yuxi-Know/commit/0ff771dc1933d5a6b78f804115e78a7d8625c3f3 · Correção
• https://t.me/cveNotify/144971 · Publicação no Telegram
• https://t.me/CVEtracker/38971 · Publicação no Telegram
• https://vuldb.com/?ctiid.334492 · Nota
• https://vuldb.com/?submit.697380 · Nota
• https://twitter.com/CVEnew/status/1997076129975619828 · Publicação no Twitter
• https://vuldb.com/?id.334492 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-14116 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-14116 · Aviso do Fabricante