PT-2025-52212 · Undefined · Undefined

CVE-2025-67886 · Publicado 2025-12-18 · Atualizado 2026-05-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Bitrix24 versões anteriores a 25.100.301

Descrição A Execução Remota de Código é possível porque um ator com permissões SOURCE/WRITE para o Módulo de Tradução (Translate Module) pode carregar e executar código enviando um arquivo PHP e um arquivo .htaccess. O fornecedor contesta este problema, afirmando que este é o comportamento pretendido para usuários com altos privilégios que carregam novas páginas traduzidas para o site.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-67886

Produtos afetados

Undefined

Referências · 12

• 🔥 https://seclists.org/fulldisclosure/2025/Dec/21 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-67886 · Nota de Segurança
• http://seclists.org/fulldisclosure/2025/Dec/21 · Nota
• https://twitter.com/CVEnew/status/2053559169110663444 · Publicação no Twitter
• https://dev.1c-bitrix.ru/learning/course/?COURSE_ID=43&LESSON_ID=3055 · Nota
• https://t.me/cveNotify/162681 · Publicação no Telegram
• https://t.me/cyberok_news/167 · Publicação no Telegram
• https://bitrix24.com/self-hosted · Nota
• https://t.me/poxek/5783 · Publicação no Telegram
• https://dev.1c-bitrix.ru/api_help/translate/index.php · Nota
• https://karmainsecurity.com/pocs/CVE-2025-67886.php · Nota
• https://t.me/CVEtracker/53092 · Publicação no Telegram