CVE-2025-62712

Nome do Software Vulnerável e Versões Afetadas Versões do JumpServer anteriores a v3.10.20-lts e v4.10.11-lts

Descrição O JumpServer é um host bastião de código aberto e um sistema de auditoria de segurança de operações e manutenção. Nas versões afetadas, um usuário autenticado e não privilegiado pode recuperar tokens de conexão pertencentes a outros usuários via o endpoint da API de super-conexão /api/v1/authentication/super-connection-token/. Quando acessado a partir de um navegador web, este endpoint retorna incorretamente tokens de conexão criados por todos os usuários, em vez de restringir os resultados aos tokens possuídos ou autorizados para o solicitante. Um atacante que obtenha esses tokens pode iniciar conexões com ativos gerenciados em nome dos proprietários originais dos tokens, potencialmente levando a acesso não autorizado e escalonamento de privilégios.

Recomendações Versões anteriores a v3.10.20-lts devem ser atualizadas para v3.10.20-lts ou posterior. Versões anteriores a v4.10.11-lts devem ser atualizadas para v4.10.11-lts ou posterior.