CVE-2025-7013: QR Menu Pro Menu Panel: Bypass de Autorização via Chave Controlada pelo Usuário

Visão geral

A CVE-2025-7013 é um bypass de autorização classificado como CWE-639, em que uma chave fornecida ou controlada pelo usuário é aceita como confiável para selecionar um recurso. O componente afetado indicado é o Menu Panel da QR Menu Pro Smart Menu Systems. O fornecedor não respondeu ao contato antecipado sobre a divulgação.

Impacto

A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alto impacto em confidencialidade, integridade e disponibilidade.
O CNA USOM registra pontuação de 5.7 pelo CVSS 3.1.
Com base na classe da fraqueza, um bypass bem-sucedido poderia permitir acesso a dados ou funções ligados a identificadores que o usuário não deveria controlar. O registro não descreve quais dados seriam expostos.

Produtos e versões afetados

Produto indicado: Qrmenumpro Menu Panel.
Faixa de versões indicada: through 29012026 (apresentada como menor ou igual a 29012026). A cadeia se parece com uma data e não com um número de versão convencional, então o significado deve ser confirmado nas fontes.
Nenhuma versão corrigida consta no registro.

Status de exploração

Esta CVE não aparece listada no catálogo KEV da CISA no registro analisado.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Nenhuma correção do fornecedor está registrada. Como o fornecedor não respondeu ao contato de divulgação, um patch oficial pode não estar disponível. A ausência de correção listada não comprova que ela inexista.
Quando operacionalmente viável, restrinja o acesso de rede ao Menu Panel a administradores confiáveis.
Aplique verificações de propriedade e autorização no servidor em toda requisição que referencie um identificador de objeto, sem confiar nos identificadores enviados pelo cliente.
Acompanhe os avisos do USOM e do Siber Güvenlik.

Orientações de detecção

Revise logs de aplicação e web em busca de requisições ao Menu Panel cujos identificadores não pertençam à conta autenticada.
Observe volumes incomuns de requisições que variem os valores de identificadores em muitos registros em curto intervalo.
Trate esses achados como indicadores para investigação, não como confirmação de comprometimento.

Limitações das informações disponíveis

O registro não detalha o endpoint vulnerável, o parâmetro envolvido nem os dados expostos.
As métricas da NVD indicam que não são exigidos privilégios nem interação do usuário, mas o registro não explica as condições exatas.
Versões corrigidas, posicionamentos do fornecedor, dados de EPSS e SSVC estão ausentes.
A cadeia de versão parece uma data e pode não ser um número de versão padrão.

Perguntas frequentes

Que tipo de fraqueza é a CVE-2025-7013?

O registro a classifica como CWE-639, um bypass de autorização por chave controlada pelo usuário, frequentemente descrito como referência direta insegura a objeto.

A CVE-2025-7013 é explorada conhecidamente?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.