CVE-2025-9316: falha de média gravidade em N-able N-central
N-central unauthenticated sessionID generation
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.
O N-central versões anteriores a 2025.4 pode gerar IDs de sessão válidos para usuários não autenticados. Isso permite que atacantes se façam passar por usuários legítimos ou contornem verificações de autenticação.
N-central < 2025.4 gera sessionIDs válidos sem exigir autenticação prévia, permitindo que atacantes não autenticados obtenham tokens de sessão legítimos. Um invasor pode usar esses tokens para acessar recursos protegidos ou realizar ações como se fosse um usuário autenticado, contornando os mecanismos de controle de acesso da aplicação.
No mesmo produto, das mais perigosas para as menos.