CVE-2025-27223
58Vexday Risk Score
Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.
ssvc Actcvss 7.5epss 2.1%
da publicação à arma
Publicada no NVD27 de out.
VulnCheck16 de out.
probabilidade de exploração
2.1%top 20% das CVEs
exploração observada
simVulnCheck
Em resumo
O TRUfusion Enterprise usa uma chave de criptografia padrão para criar cookies de autenticação, permitindo que atacantes criem cookies falsos e acessem informações sensíveis de projetos sem permissão.
Detalhe técnico
A aplicação depende de COOKIEID criptografado para autenticar requisições em endpoints como /trufusionPortal/getProjectList, mas utiliza uma chave de criptografia estática e reutilizada. Um atacante pode obter ou derivar essa chave e forjar cookies criptografados válidos para contornar autenticação e acessar dados internos sensíveis.
Resumo gerado e traduzido por IA a partir da descrição oficial.
TRUfusion Enterprise through 7.10.4.0 exposes the encrypted COOKIEID as an authentication mechanism for some endpoints such as /trufusionPortal/getProjectList. However, the application uses a static key to create the encrypted cookie, ultimately allowing anyone to forge cookies and gain access to sensitive internal information.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
n/a · n/aReferências
https://github.com/MrTuxracer/advisories/blob/master/CVEs/CVE-2025-27223.txthttps://www.rcesecurity.com/2025/09/when-audits-fail-four-critical-pre-auth-vulnerabilities-in-trufusion-enterprise/https://www.rocketsoftware.com/products/rocket-b2b-supply-chain-integration/rocket-trufusion-enterprise