PT-2026-3642 · Unknown · Hotwired Turbo

CVE-2025-66803 · Publicado 2026-01-20 · Atualizado 2026-01-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Hotwired Turbo anteriores à 8.0.0

Descrição Existe uma condição de corrida no manipulador do elemento turbo-frame. Esse problema pode causar falhas nas operações de logout quando respostas de frame atrasadas reaplicam cookies de sessão após um usuário ter feito logout. Atacantes podem explorar isso introduzindo atrasos de rede seletivos ou aproveitando condições de corrida que ocorrem naturalmente em computadores compartilhados. Isso permite que atacantes remotos restaurem cookies de sessão destruídos, potencialmente efetuando o login novamente de um usuário após ele ter feito logout.

Recomendações Atualize o Hotwired Turbo para a versão 8.0.0 ou posterior.

Exploit

Correção

Race Condition

Insufficient Session Expiration

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-362

CWE-613

CWE-367

Identificadores relacionados

CVE-2025-66803

GHSA-QPPM-G56G-FPVP

Produtos afetados

Hotwired Turbo

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66803.json · Exploit
• https://github.com/hotwired/turbo · Nota
• https://github.com/hotwired/turbo/commit/899df356e9f4b3303cca217cd14b3f846edda10d · Nota
• https://github.com/hotwired/turbo/releases/tag/v8.0.21 · Nota
• https://github.com/hotwired/turbo/pull/1399 · Correção
• https://github.com/hotwired/turbo/security/advisories/GHSA-qppm-g56g-fpvp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-66803 · Aviso do Fabricante
• https://turbo.hotwired.dev/handbook/frames · Nota
• https://twitter.com/_cvereports/status/2013688886111686949 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-66803 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qppm-g56g-fpvp · Aviso do Fabricante
• https://t.me/cveNotify/149417 · Publicação no Telegram