CVE-2025-65925 — Некорректный контроль доступа в процессе создания учетной записи Zeroheight

Дата раскрытия: 2025-06-11
Дата исправления вендором (по данным вендора): 2025-06-13
Дата подтверждения исследователем: 2025-06-26
Обнаружено: Sneden Rebello

---

Краткое описание

Устаревший API-путь создания пользователей позволял создавать учетные записи без выполнения предусмотренного шага подтверждения электронной почты. Хотя неподтвержденные учетные записи не могли получить доступ к функциям продукта, этот обход нарушал проектный поток проверки и контроля доступа и позволял создавать нежелательные учетные записи (например, спам/фейковые регистрации).

Область: ограничена неаутентифицированными потоками регистрации.
Раскрытие данных: не наблюдалось; доступа к существующим пользовательским данным или сессиям не было.

---

Воздействие (общее)

• Создание учетных записей вне предусмотренных контролей верификации
• Потенциальная возможность наводнения спамными/фейковыми учетными записями и влияние на ресурсы/использование ресурсов
• Может способствовать социальной инженерии или цепным атакам в более широких моделях угроз

Классификация воздействия MITRE: Отказ в обслуживании (истощение ресурсов за счет нежелательного создания учетных записей)

Предполагаемая серьезность: Средняя (обход логики аутентификации/верификации; без прямого раскрытия данных)

Вектор CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Базовая оценка CVSS: 6.5 (Средняя)

---

Классификация CVE (MITRE)

• Тип уязвимости: Некорректный контроль доступа
• Тип атаки: Удаленная
• Вектор атаки: Сеть – неаутентифицированный доступ к устаревшему пути создания пользователей через HTTPS
• Затронутый компонент: Процесс создания и верификации учетной записи пользователя (устаревший путь обхода верификации)
• Подтверждение вендором: Да

---

Затронутые

• Продукт: Zeroheight (SaaS-платформа)
• Версии: zeroheight (SaaS) – экземпляры до 2025-06-13 (одобренная вендором строка публичной версии)

---

Устранение (вендор)

Вендор устранил проблему следующим образом:

1. Требование действительного токена верификации для всех потоков создания учетных записей
2. Улучшение проверок валидации перед обработкой новых регистраций учетных записей

Эти изменения гарантируют, что учетные записи могут быть созданы только после завершения предусмотренного процесса верификации электронной почты.
Пользователям платформы не нужно предпринимать никаких действий, кроме как убедиться, что они используют текущую версию сервиса.

---

Хронология

Примечание: Для прозрачности зафиксированы как внутренняя дата исправления вендором (2025-06-13), так и дата подтверждения исследователем (2025-06-26).

---

Благодарности

• Исследователь: Sneden Rebello (GitHub),(LinkedIn)
• Координация с вендором: Команды безопасности и инженерии Zeroheight

---

CVE

CVE-2025-65925 публично опубликован на cve.org
Данное уведомление отражает публичное раскрытие, связанное с этим CVE.

---

Ссылки

• Данное уведомление (публичное)
• Дополнительный контекст от вендора хранится в частном порядке по его просьбе

---

Политика раскрытия

Это скоординированное раскрытие уязвимости. Публичные детали намеренно представлены на высоком уровне по просьбе вендора; внутренние идентификаторы, сведения об инфраструктуре или конкретные конечные точки не включены. Подробнее см. в DISCLOSURE_POLICY.md.