PT-2025-52263 · Vega · Vega

Catalin Iovita · Publicado 2025-12-18 · Atualizado 2025-12-19 · CVE-2025-14896

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Vega (versões afetadas não especificadas)

Descrição O software contém uma falha devido à validação de entrada inadequada na função convert() quando o safeMode está ativo e a variável spec é um array. Isso permite que um atacante crie uma especificação de diagrama Vega especialmente elaborada que pode enviar solicitações para qualquer URL, potencialmente incluindo caminhos do sistema de arquivos local. Isso poderia levar à divulgação de informações sensíveis. O parâmetro vulnerável é spec.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

CVE-2025-14896

Produtos afetados

Vega

Referências · 6

• https://github.com/yuzutech/kroki/commit/f31093cd8a0a1d6999c43d560f62d1e82d59c77e · Nota
• https://twitter.com/VulmonFeeds/status/2001815790878658884 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-14896 · Aviso do Fabricante
• https://t.me/CVEtracker/40165 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2001728015399817354 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-14896 · Nota de Segurança