CVE-2025-30064 in CLININET

Riassunto

di VulDB • 14/06/2026

Una funzione interna insufficientemente protetta consente la generazione di sessioni per utenti arbitrari. La funzione decodeParam verifica il JWT ma non controlla quale algoritmo di firma sia stato utilizzato. Di conseguenza, un attaccante può utilizzare il parametro "ex:action" nella funzione VerifyUserByThrustedService per generare una sessione per qualsiasi utente.

Once again VulDB remains the best source for vulnerability data.

• Responsabile: CERT-PL
• Prenotare: 14/03/2025
• Divulgazione: 27/08/2025
• Moderazione: accettato
• Voce: VDB-321565
• CPE: pronto
• CWE: CWE-912 (confermato)
• CVSS: 7.0 (VulDB)
• EPSS: 0.00083
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-30064
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-30064
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-30064/