Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
CVE-2025-60375 — CVE-2025-60375 — Authentifizierungsumgehung / falsche Zugriffskontrolle in PerfexCRM < 3.3.1 (Admin-Login) | Kitploit
Tools/GitHubGitHub/ahamedyaseen03/cve-2025-60375
Privilege EscalationSchwachstellenanalyseWebanwendungs-ExploitationPenetrationstestsAuthentifizierungFehlkonfiguration
GitHubahamedyaseen03/cve-2025-60375

CVE-2025-60375

CVE-2025-60375 — Authentifizierungsumgehung / falsche Zugriffskontrolle in PerfexCRM < 3.3.1 (Admin-Login)

Repository anzeigen
1vor 10 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2025-60375

CVE-2025-60375 — Authentifizierungsumgehung / fehlerhafte Zugriffskontrolle in PerfexCRM < 3.3.1 (Admin-Login)

Zusammenfassung

Schwachstellentyp: Fehlerhafte Zugriffskontrolle — Authentifizierungsumgehung
Betroffenes Produkt: PerfexCRM < 3.3.1
CVE: CVE-2025-60375 (Veröffentlicht)

Kurzbeschreibung:
Der Authentifizierungsmechanismus in PerfexCRM-Versionen vor 3.3.1 validiert die Benutzername-/Passwort-Parameter nicht serverseitig. Durch das Senden leerer Benutzername- und Passwort-Parameter in einer abgefangenen Login-Anfrage kann ein Angreifer die Authentifizierung umgehen und Zugriff auf Konten (einschließlich Administrator-Konten) erlangen.

Betroffene Komponente

  • Admin-Login / Authentifizierungssystem

Angriffsart

  • Remote

Auswirkungen

  • Rechteausweitung: true (Angreifer kann auf das administrative Dashboard zugreifen)
  • Offenlegung von Informationen: true (Zugriff auf kontospezifische Daten)

Reproduktionsschritte (wie entdeckt)

  1. Navigieren Sie zur PerfexCRM-Admin-Login-Seite.
  2. Fangen Sie die Login-Anfrage mit einem Proxy-Tool (z. B. Burp Suite) ab.
  3. Entfernen oder leeren Sie die username- und password-Parameter in der Login-Anfrage-Payload (senden Sie leere Parameter).
  4. Leiten Sie die modifizierte Anfrage weiter.
  5. Aktualisieren Sie bei Bedarf; beobachten Sie eine 419 Page expired-Meldung und anschließend die automatische Weiterleitung zum Dashboard.
  6. Das System gewährt Zugriff ohne gültige Anmeldedaten.

Hinweis: Die obigen Schritte sind die ursprünglichen Entdeckungsschritte, die von Ajansha Shankar und Ahamed Yaseen gemeldet wurden.

Referenzen

  • OWASP Authentication Cheat Sheet — Leitfaden für serverseitige Validierung und Authentifizierungskontrollen.
    https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

Gegenmaßnahmen / Empfohlener Fix

  • Implementieren Sie eine strenge serverseitige Validierung der Authentifizierungsparameter. Lehnen Sie Anfragen mit fehlenden/leeren Benutzernamen oder Passwörtern ab und geben Sie eine entsprechende 4xx-Antwort zurück.
  • Stellen Sie sicher, dass Sitzungserstellung und Authentifizierungslogik erst nach erfolgreicher Anmeldedatenvalidierung ausgeführt werden.
  • Fügen Sie automatisierte Tests hinzu, die sicherstellen, dass leere oder fehlende Anmeldedaten niemals zu einem erfolgreichen Login führen.
  • Führen Sie Backports für alle unterstützten Zweige durch und veröffentlichen Sie CVE/Advisory, sobald der Fix vorliegt.

Entdecker / Danksagung

Ahamed Yaseen , Ajansha Shankar

CVE-Links

  • https://www.cve.org/CVERecord?id=CVE-2025-60375
  • https://www.cvedetails.com/cve/CVE-2025-60375/
  • https://nvd.nist.gov/vuln/detail/CVE-2025-60375
Tool herunterladen