CVE-2025-65112 - PubNet 关键身份验证绕过允许未授权包上传与身份欺骗
概述
PubNet 是一款自托管的 Dart & Flutter 包服务。在 1.1.3 版本之前，PubNet 中的 /api/storage/upload 端点允许未经身份验证的用户通过提供任意的 author-id 值，以任何用户的身份上传软件包。这会导致身份欺骗、权限提升和供应链攻击。该问题已在 1.1.3 版本中修复。
漏洞详情
- 发布日期： 2025年11月29日 01:16
- 最后修改： 2025年11月29日 01:16
- 可远程利用： 是
- 信息来源： security-advisories@github.com
受影响产品
目前尚无受影响的特定产品版本记录。
CVSS 评分
| 分数 | 版本 | 严重性 | 向量 | 可利用性评分 | 影响评分 | 来源 |
|---|---|---|---|---|---|---|
| 9.4 | CVSS 3.1 | 严重 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L |
3.9 | 5.5 | security-advisories@github.com |
解决方案
- 将 PubNet 更新至 1.1.3 或更高版本，以修复身份验证绕过漏洞。
- 验证更新是否成功应用。
- 确保上传端点强制执行身份验证。
相关参考
CWE - 常见弱点枚举
- CWE-306：关键功能缺少身份验证
- CWE-862：缺少授权
CAPEC - 常见攻击模式枚举与分类
- CAPEC-12：选择消息标识符
- CAPEC-36：使用未公开的接口或功能
- CAPEC-62：跨站请求伪造
- CAPEC-166：强制系统重置值
- CAPEC-216：通信通道操纵
- CAPEC-665：利用 Thunderbolt 保护缺陷
漏洞时间线
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 新增 | 描述 | PubNet 是一款自托管的 Dart & Flutter 包服务。在 1.1.3 版本之前，PubNet 中的 /api/storage/upload 端点允许未经身份验证的用户通过提供任意的 author-id 值，以任何用户的身份上传软件包。这会导致身份欺骗、权限提升和供应链攻击。该问题已在 1.1.3 版本中修复。 |
|
| 新增 | CVSS V3.1 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L | |
| 新增 | CWE | CWE-306 | |
| 新增 | CWE | CWE-862 | |
| 新增 | 参考链接 | https://github.com/ricardoboss/PubNet/security/advisories/GHSA-pg82-fqrg-q6j5 |