CVE-2025-65925 — Controllo degli accessi errato in Zeroheight nel flusso di creazione account

Data di divulgazione: 2025-06-11
Data di correzione del fornitore (secondo il fornitore): 2025-06-13
Data di validazione del ricercatore: 2025-06-26
Scoperto da: Sneden Rebello

---

Riepilogo

Un percorso API legacy per la creazione di utenti consentiva di creare account senza completare il passaggio previsto di verifica email. Sebbene gli account non verificati non potessero accedere alle funzionalità del prodotto, questa bypass violava comunque il flusso di verifica e controllo degli accessi previsto e consentiva la creazione di account indesiderati (ad es. registrazioni spam/finte).

Ambito: limitato ai flussi di registrazione non autenticati.
Esposizione dei dati: nessuna osservata; nessun accesso a dati utente o sessioni esistenti.

---

Impatto (di alto livello)

• Creazione di account al di fuori dei controlli di verifica previsti
• Potenziale di inondamento di account spam/finti e impatto su risorse/uso delle risorse
• Potrebbe contribuire a scenari di ingegneria sociale o attacchi concatenati in modelli di minaccia più ampi

Classificazione dell'impatto MITRE: Denial of Service (esaurimento delle risorse tramite creazione di account indesiderati)

Severità stimata: Media (bypass della logica di autenticazione/verifica; nessuna esposizione diretta dei dati)

Vettore CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Punteggio base CVSS: 6.5 (Media)

---

Classificazione CVE (MITRE)

• Tipo di vulnerabilità: Controllo degli accessi errato
• Tipo di attacco: Remoto
• Vettore di attacco: Rete – accesso non autenticato a un percorso legacy di creazione utenti tramite HTTPS
• Componente interessato: Processo di creazione e verifica degli account utente (percorso legacy di bypass della verifica)
• Conferma del fornitore: Sì

---

Prodotti interessati

• Prodotto: Zeroheight (piattaforma SaaS)
• Versioni: zeroheight (SaaS) – istanze precedenti al 2025-06-13 (stringa di versione pubblica approvata dal fornitore)

---

Mitigazione (fornitore)

Il fornitore ha risolto il problema:

1. Richiedendo un token di verifica valido per tutti i flussi di creazione account
2. Migliorando i controlli di validazione prima di elaborare le nuove registrazioni di account

Queste modifiche garantiscono che gli account possano essere creati solo dopo aver completato il processo di verifica email previsto.
Gli utenti della piattaforma non devono intraprendere alcuna azione oltre ad assicurarsi di essere sulla versione attuale del servizio.

---

Cronologia

Nota: sia la data di correzione interna del fornitore (2025-06-13) sia la data di validazione del ricercatore (2025-06-26) sono registrate per trasparenza.

---

Crediti

• Ricercatore: Sneden Rebello (GitHub),(LinkedIn)
• Coordinamento con il fornitore: team di sicurezza e ingegneria di Zeroheight

---

CVE

CVE-2025-65925 è pubblicato pubblicamente su cve.org Questo advisory riflette la divulgazione pubblica associata a questa CVE.

---

Riferimenti

• Questo advisory (pubblico)
• Ulteriore contesto del fornitore conservato privatamente su sua richiesta

---

Politica di divulgazione

Questa politica segue la divulgazione coordinata delle vulnerabilità. I dettagli pubblici sono volutamente di alto livello su richiesta del fornitore; non sono inclusi identificatori interni, dettagli sull'infrastruttura o specifiche degli endpoint. Vedere DISCLOSURE_POLICY.md per maggiori informazioni.