p PatchFirst

CVE-2025-67718

CVE-2025-67718 · Formio improperly authorized permission elevation through specially crafted request path

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Form.io is a combined Form and API platform for Serverless applications. Versions 3.5.6 and below and 4.0.0-rc.1 through 4.4.2 contain a flaw in path handling which could allow an attacker to access protected API endpoints by sending a crafted request path. An unauthenticated or unauthorized request could retrieve data from endpoints that should be protected. This issue is fixed in versions 3.5.7 and 4.4.3.

CVSS 8.7 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • formio

    Versions du logiciel
    • < 3.5.7: Concernée
    • >= 4.0.0-rc.1, < 4.4.3: Concernée

    Aucun correctif publié

  • formio npm

    Plages de versions concernées
    • SEMVER: < 3.5.7

    Mettez à jour vers 3.5.7

  • formio npm

    Plages de versions concernées
    • SEMVER: ≥ 4.0.0-rc.1, < 4.4.3

    Mettez à jour vers 4.4.3

Sources originales

Vérifiez votre serveur →