PT-2025-54429 · Zwiicms · Zwiicms

Matías Schiappacasse · Publicado 2025-12-31 · Atualizado 2026-02-02 · CVE-2025-34467

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do ZwiiCMS anteriores a 13.7.00

Descrição O software contém uma vulnerabilidade de negação de serviço em várias áreas administrativas devido a verificações de autorização incorretas e problemas na manipulação de recursos. Um usuário com acesso limitado pode solicitar uma página administrativa, o que deveria resultar em um erro "404 Not Found". No entanto, a aplicação obtém e vincula incorretamente um bloqueio temporário no recurso solicitado à sessão do atacante antes de verificar se o usuário está autorizado. Esse bloqueio impede que outros usuários, incluindo administradores, acessem as funcionalidades afetadas até que o atacante saia da página ou sua sessão termine. Os endpoints administrativos afetados incluem múltiplos locais.

Recomendações Atualize para a versão 13.7.00 ou posterior.

Correção

DoS

Incorrect Authorization

Improper Locking

Enumeração de Fraquezas

CWE-863

CWE-667

Identificadores relacionados

CVE-2025-34467

Produtos afetados

Zwiicms

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2025-34467 · Nota de Segurança
• https://t.me/CVEtracker/41102 · Publicação no Telegram
• https://github.com/fredtempez/ZwiiCMS · Nota
• https://t.me/cveNotify/150617 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-34467 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2006495386370814327 · Publicação no Twitter
• https://vulncheck.com/advisories/zwiicms-lock-persistence-authenticated-dos-against-administrative-pages · Nota
• https://codeberg.org/fredtempez/ZwiiCMS/releases/tag/13.7.00 · Correção