PT-2026-24134 · Hitachi Vantara · Pentaho Data Integration & Analytics

CVE-2025-11158 · Publicado 2026-03-09 · Atualizado 2026-05-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Hitachi Vantara Pentaho Data Integration & Analytics versões anteriores à 10.2.0.6 Hitachi Vantara Pentaho Data Integration & Analytics versões 8.3.x Hitachi Vantara Pentaho Data Integration & Analytics versões 9.3.x

Descrição O software não restringe adequadamente scripts Groovy em novos relatórios PRPT publicados por usuários. Isso permite a inserção de scripts arbitrários, potencialmente levando à Execução Remota de Código (RCE). O problema afeta usuários autenticados.

Recomendações Atualize para a versão 10.2.0.6 ou posterior.

Correção

RCE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-11158

Produtos afetados

Pentaho Data Integration & Analytics

Referências · 10

• https://ox.security/blog/cve-2025-11158 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11158 · Nota de Segurança
• https://twitter.com/MosheTov/status/2031383966117212468 · Publicação no Twitter
• https://t.me/CVEtracker/46939 · Publicação no Telegram
• https://support.pentaho.com/hc/en-us/articles/39975058295821--Resolved-Hitachi-Vantara-Pentaho-Data-Integration-Analytics-Missing-Authorization-Versions-before-10-2-0-6-impacted-CVE-2025-11158 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2031409460128952516 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2031133912844358107 · Publicação no Twitter
• https://t.me/cveNotify/154930 · Publicação no Telegram
• https://t.me/cveNotify/162403 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/2031410082592747784 · Publicação no Twitter