PT-2025-51743 · Pimpmylog · Pimpmylog

Thoughtfault · Publicado 2025-12-16 · Atualizado 2025-12-30 · CVE-2023-53895

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas PimpMyLog versão 1.7.14

Descrição O software contém uma falha de controle de acesso inadequado que permite que atacantes remotos criem contas de administrador sem autorização através do endpoint de configuração. Os atacantes podem explorar o campo username não sanitizado para injetar JavaScript malicioso, criar uma conta backdoor oculta e potencialmente acessar informações sensíveis de log do lado do servidor e variáveis de ambiente. O endpoint vulnerável é '/configuration'.

Recomendações Aplique sanitização e validação de entrada adequadas ao campo username no endpoint '/configuration'. Restrinja o acesso ao endpoint '/configuration' apenas a pessoal autorizado.

Exploit

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2023-53895

Produtos afetados

Pimpmylog

Referências · 11

• 🔥 https://exploit-db.com/exploits/51593 · Exploit
• https://github.com/potsky/PimpMyLog · Nota
• https://twitter.com/CveFindCom/status/2000984158487630048 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2001088778341924906 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2001762016487153744 · Publicação no Twitter
• https://pimpmylog.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-53895 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-53895 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2000986372887474388 · Publicação no Twitter
• https://vulncheck.com/advisories/pimpmylog-improper-access-control-via-account-creation-endpoint · Nota
• https://t.me/cveNotify/147197 · Publicação no Telegram