Skip to content
KitploitKITPLOIT
FerramentasBlog
Enviar
FerramentasBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
Ferramentas/GitHubGitHub/0xsu3ks/cve-2025-29557
Análise de VulnerabilidadesExploraçãoExploração de Aplicações WebColeta de InformaçõesAprendizado e EducaçãoSegurança de API
GitHub0xsu3ks/cve-2025-29557

CVE-2025-29557

Documenta uma falha de controle de acesso na API MailConfiguration do ExaGrid EX10 de alta gravidade que vaza credenciais SMTP em texto claro para operadores autenticados, com vetores de ataque e mitigações.

Ver Repositório
4há 1 anoAinda não revisado

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

CVE-2025-29557 – Exposição de Credenciais via API MailConfiguration do ExaGrid

📝 Visão Geral

Título da Vulnerabilidade: Exposição de Credenciais SMTP via API MailConfiguration
Produto: ExaGrid EX10 Backup Appliance
Versões Afetadas: 6.3 – 7.0.1.P08
ID CVE: CVE-2025-29557
Severidade: Alta
Vetor de Ataque: Remoto (Autenticado)
Impacto: Divulgação de Informações – Credenciais SMTP em Texto Simples

🧨 Descrição

Existe uma falha crítica de controle de acesso no endpoint da API MailConfiguration dos appliances ExaGrid EX10. Usuários autenticados com privilégios de nível operador podem enviar uma solicitação HTTP manipulada para este endpoint e receber detalhes da configuração SMTP — incluindo senhas SMTP em texto simples.

Isso representa uma clara violação das fronteiras de privilégio, pois funções de operador não devem ter acesso a credenciais sensíveis.

🔬 Vetores de Ataque

🔹 Manipulação Direta da Solicitação à API

  • Um usuário com acesso de nível operador envia uma solicitação GET para a API MailConfiguration.
  • A API retorna um payload JSON completo contendo nomes de usuário e senhas SMTP em texto simples.

🔹 Varredura ou Enumeração da API

  • Um atacante com acesso programático pode consultar múltiplos appliances ou endpoints em escala.
  • Permite a coleta de credenciais em ambientes diversos, especialmente em grandes implantações.

📦 Componentes Afetados

  • Produto: ExaGrid EX10
  • Componente: API MailConfiguration
  • Versões: 6.3 até 7.0.1.P08

📉 Impacto

  • Violação de confidencialidade: Divulgação de credenciais em texto simples usadas para e-mail de saída (alertas, suporte).
  • Movimentação lateral: Possível acesso a serviços SMTP internos ou em nuvem.
  • Violação de conformidade: Desrespeito às práticas básicas de proteção de credenciais (por exemplo, armazenamento de segredos em texto simples).

🛡️ Mitigação

  • Atualize para a versão corrigida mais recente assim que disponível.
  • Remova configurações SMTP desnecessárias ou utilize tokens quando suportado.
  • Monitore logs de acesso à API em busca de consultas MailConfiguration provenientes de contas de operador.

✅ Status do Fornecedor

  • Confirmado e reconhecido pela ExaGrid.

👨‍💻 Descobridor

Pesquisador de Segurança – Kevin Suckiel -- 0xsu3ks Descobriu e divulgou responsavelmente a CVE-2025-29557.

⚠️ Aviso Legal

Este conteúdo é fornecido apenas para fins educacionais e de testes autorizados.
O autor não se responsabiliza por uso indevido ou acesso não autorizado.

Baixar ferramenta