PT-2025-52674 · Umbraco · Umbraco Cms

Vuquyen03 · Publicado 2025-12-22 · Atualizado 2026-01-02 · CVE-2025-67288

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Umbraco CMS versão 16.3.3

Descrição Existe uma vulnerabilidade de upload arbitrário de arquivos no Umbraco CMS versão 16.3.3. Atacantes podem potencialmente executar código arbitrário ao fazer upload de um arquivo PDF especialmente manipulado. O fornecedor contesta a responsabilidade, afirmando que a validação de arquivos é responsabilidade do administrador do sistema.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

RCE

XSS

Unrestricted File Upload

Enumeração de Fraquezas

CWE-79

CWE-434

Identificadores relacionados

CVE-2025-67288

GHSA-54MJ-VCVJ-Q3V5

Produtos afetados

Umbraco Cms

Referências · 17

• 🔥 https://github.com/vuquyen03/CVE/tree/main/CVE-2025-67288 · Exploit
• https://github.com/umbraco/Umbraco-CMS · Nota
• https://github.com/github/advisory-database/pull/6633 · Nota
• https://twitter.com/offseq/status/2003315608142651524 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1pttxj6/resumen_diario_de_vulnerabilidades_23122025 · Publicação no Reddit
• https://twitter.com/CveFindCom/status/2003188685487903047 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-67288 · Aviso do Fabricante
• https://t.me/cveNotify/147568 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2003198628467245128 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1pw544r/resumen_diario_de_vulnerabilidades_26122025 · Publicação no Reddit
• http://umbraco.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-67288 · Nota de Segurança
• https://t.me/cveNotify/147522 · Publicação no Telegram
• https://docs.umbraco.com/umbraco-cms/reference/security/serverside-file-validation · Nota
• https://osv.dev/vulnerability/GHSA-54mj-vcvj-q3v5 · Aviso do Fabricante