PT-2026-22348 · Publiccms · Publiccms

CVE-2025-69437 · Publicado 2026-02-27 · Atualizado 2026-03-04

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas PublicCMS versões anteriores a 5.202506.d

Descrição O software apresenta uma vulnerabilidade de cross-site scripting armazenado (XSS). Arquivos PDF carregados podem conter cargas de JavaScript que contornam as verificações de segurança no backend CmsFileUtils.java. Quando um usuário visualiza um PDF malicioso carregado no sistema, o JavaScript embutido pode ser executado, possivelmente levando ao roubo de credenciais e execução arbitrária de API. Os endpoints de upload de arquivos afetados incluem /cmsTemplate/save, /file/doUpload, /cmsTemplate/doUpload, /file/doBatchUpload e /cmsWebFile/doUpload.

Recomendações Atualize para uma versão mais recente que 5.202506.d.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-69437

Produtos afetados

Publiccms

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/69xxx/CVE-2025-69437.json · Exploit
• https://github.com/sanluan/PublicCMS/issues/103 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-69437 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2027489026656375046 · Publicação no Twitter
• https://twitter.com/cracbot/status/2029150031031468466 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-69437 · Nota de Segurança
• https://twitter.com/CVEnew/status/2027466610190258373 · Publicação no Twitter