CVE-2025-27223
58Vexday Risk Score
Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.
ssvc Actcvss 7.5epss 2.1%
de la publicación al arma
Publicada en NVD27 oct
VulnCheck16 oct
probabilidad de explotación
2.1%top 20% de las CVE
explotación observada
síVulnCheck
En resumen
TRUfusion Enterprise utiliza una clave de cifrado estática para crear cookies de autenticación, permitiendo que atacantes forjen cookies falsas y accedan a información sensible de proyectos sin autorización.
Detalle técnico
La aplicación depende de COOKIEID cifrado para autenticar solicitudes en endpoints como /trufusionPortal/getProjectList, pero emplea una clave de cifrado estática y compartida. Un atacante puede obtener o derivar esta clave y fabricar cookies cifradas válidas para eludir autenticación y acceder a datos internos sensibles.
Resumen generado y traducido por IA a partir de la descripción oficial.
TRUfusion Enterprise through 7.10.4.0 exposes the encrypted COOKIEID as an authentication mechanism for some endpoints such as /trufusionPortal/getProjectList. However, the application uses a static key to create the encrypted cookie, ultimately allowing anyone to forge cookies and gain access to sensitive internal information.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/aReferencias
https://github.com/MrTuxracer/advisories/blob/master/CVEs/CVE-2025-27223.txthttps://www.rcesecurity.com/2025/09/when-audits-fail-four-critical-pre-auth-vulnerabilities-in-trufusion-enterprise/https://www.rocketsoftware.com/products/rocket-b2b-supply-chain-integration/rocket-trufusion-enterprise