PT-2025-52860 · Unknown · Continuwuity

Jadedblueeyes · Publicado 2025-12-23 · Atualizado 2025-12-26 · CVE-2025-68667

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.9

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas versões do continuwuity anteriores à 0.5.0

Descrição Um atacante remoto e não autenticado pode forçar o servidor alvo a assinar criptograficamente eventos de membresia arbitrários. Isso ocorre porque o servidor não valida a origem de uma solicitação de assinatura quando o state key do evento é um ID de usuário válido pertencente ao servidor alvo. O endpoint de API vulnerável é / matrix/federation/v2/invite/{roomId}/{eventId}.

Recomendações Bloqueie o acesso ao endpoint PUT / matrix/federation/v2/invite/{roomId}/{eventId} usando um proxy reverso. Atualize para a versão 0.5.0 ou posterior.

Exploit

Correção

DoS

RCE

Enumeração de Fraquezas

CWE-20

CWE-441

Identificadores relacionados

CVE-2025-68667

GHSA-22FW-4JQ7-G8R8

Produtos afetados

Continuwuity

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68667.json · Exploit
• https://github.com/matrix-construct/tuwunel/commit/dc9314de1f8a6e040c5aa331fe52efbe62e6a2c3 · Nota
• https://github.com/continuwuity/continuwuity/security/advisories/GHSA-22fw-4jq7-g8r8 · Nota
• https://twitter.com/CVEnew/status/2003700503193190695 · Publicação no Twitter
• https://t.me/cveNotify/146916 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2003634005594226742 · Publicação no Twitter
• https://forgejo.ellis.link/continuwuation/continuwuity/commit/b2bead67ac8bc45de9a612578f295e5b7fc6c2b5 · Nota
• https://osv.dev/vulnerability/CVE-2025-68667 · Aviso do Fabricante
• https://gitlab.com/famedly/conduit/-/releases/v0.10.10 · Nota
• https://gitlab.computer.surgery/matrix/grapevine/-/commit/9a50c2448abba6e2b7d79c64243bb438b351616c · Nota
• https://twitter.com/0dayPublishing/status/2003600414755770571 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-68667 · Nota de Segurança
• https://t.me/CVEtracker/40540 · Publicação no Telegram
• https://forgejo.ellis.link/continuwuation/continuwuity/commit/7fa4fa98628593c1a963f5aa8dbc3657d604b047 · Nota