PT-2025-5999 · Pimcore · Pimcore Admin Classic Bundle

Ayman-Rayan · Publicado 2025-02-07 · Atualizado 2025-11-04 · CVE-2025-24980

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas pimcore/admin-ui-classic-bundle versões anteriores à 1.7.4

Descrição O problema refere-se a uma mensagem de erro na função "Esqueci a senha" que revela contas existentes, levando à enumeração de usuários no alvo. Isso permite que atacantes identifiquem nomes de usuário válidos, potencialmente facilitando ataques posteriores.

Recomendações Para versões anteriores à 1.7.4, atualize para a versão 1.7.4 para corrigir o problema. Como solução temporária, considere restringir o acesso à função "Esqueci a senha" até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-204

Identificadores relacionados

CVE-2025-24980

GHSA-VR5F-PHP7-RG24

Produtos afetados

Pimcore Admin Classic Bundle

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24980.json · Exploit
• 🔥 https://github.com/pimcore/admin-ui-classic-bundle/security/advisories/GHSA-vr5f-php7-rg24 · Exploit
• https://github.com/pimcore/admin-ui-classic-bundle/pull/808 · Nota
• https://github.com/pimcore/admin-ui-classic-bundle/commit/96ae555578c3b4df368092d71e07a6c4ddf8fbe9 · Nota
• https://github.com/pimcore/admin-ui-classic-bundle · Nota
• https://osv.dev/vulnerability/CVE-2025-24980 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vr5f-php7-rg24 · Aviso do Fabricante
• https://t.me/cveNotify/141703 · Publicação no Telegram
• https://t.me/cvedetector/17516 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-24980 · Nota de Segurança
• https://twitter.com/CVEnew/status/1887958293257073090 · Publicação no Twitter