PT-2025-50608 · Yalantis · Ucrop

Arrester · Publicado 2025-12-11 · Atualizado 2026-03-05 · CVE-2025-14516

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Yalantis uCrop versão 2.2.11

Descrição Existe uma condição de falsificação de solicitação do lado do servidor no Yalantis uCrop 2.2.11. O problema está relacionado à função downloadFile dentro do arquivo com.yalantis.ucrop.task.BitmapLoadTask.java, especificamente no componente URL Handler. A manipulação de URLs pode levar à falsificação de solicitação do lado do servidor. O exploit foi divulgado publicamente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-14516

Produtos afetados

Ucrop

Referências · 11

• 🔥 https://mesquite-dream-86b.notion.site/uCrop-Library-SSRF-and-Intent-Spoofing-2b8512562197804dae69edf96b942446?pvs=25#039fe30a92dc4ed88c9b03f85418e92e · Exploit
• 🔥 https://mesquite-dream-86b.notion.site/uCrop-Library-SSRF-and-Intent-Spoofing-2b8512562197804dae69edf96b942446 · Exploit
• https://vuldb.com/?ctiid.335854 · Nota
• https://twitter.com/CVEnew/status/1999144294515372118 · Publicação no Twitter
• https://t.me/cveNotify/145446 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-14516 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1999155640653017559 · Publicação no Twitter
• https://vuldb.com/?id.335854 · Nota
• https://t.me/cveNotify/154373 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-14516 · Nota de Segurança
• https://vuldb.com/?submit.702810 · Nota