PT-2025-49322 · Dropbox+5 · Dropbox+5

CVE-2025-66629 · Publicado 2025-12-05 · Atualizado 2025-12-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do HedgeDoc anteriores a 1.10.4

Descrição O HedgeDoc é um aplicativo de notas em Markdown, colaborativo e em tempo real. Determinados endpoints OAuth2 utilizados para provedores de login social — incluindo Google, GitHub, GitLab, Facebook e Dropbox — não incluíam proteção contra CSRF. Especificamente, esses endpoints não possuíam um parâmetro state e a verificação da resposta utilizando esse parâmetro. Isso poderia permitir que atacantes sequestrassem potencialmente sessões de autenticação de usuários.

Recomendações Atualize para a versão 1.10.4 ou posterior.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-66629

GHSA-6WM6-3VPQ-6QVV

Produtos afetados

Dropbox

Facebook

Github

Gitlab

Google

Hedgedoc

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66629.json · Exploit
• https://github.com/hedgedoc/hedgedoc/commit/35f36fccba941ed8029ee222f7d2a5df17b42e2b · Correção
• https://github.com/hedgedoc/hedgedoc/security/advisories/GHSA-6wm6-3vpq-6qvv · Aviso do Fabricante
• https://t.me/cveNotify/144973 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-66629 · Nota de Segurança
• https://t.me/CVEtracker/38973 · Publicação no Telegram
• https://t.me/cveNotify/145230 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1997082608392396996 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-66629 · Aviso do Fabricante