CVE-2025-7015: Vulnerabilidade de Session Fixation no Akinsoft QR Menu

Visão geral

A CVE-2025-7015 é uma fragilidade de session fixation (CWE-384) no QR Menu, produto da Akın Software Computer Import Export Industry and Trade Ltd. comercializado como Akinsoft Qr Menu. O registro informa que o problema afeta versões anteriores à s1.05.12. A CVE foi publicada em 2026-01-29 e o registro foi posteriormente modificado.

Impacto

Fragilidades de session fixation podem permitir que um identificador de sessão seja definido ou mantido por um agente malicioso, possibilitando que uma parte não autorizada reutilize uma sessão autenticada.
A NVD atribuiu 9,8 (crítica) com o vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, enquanto a CNA (USOM) atribuiu 5,7 pelo CVSS 3.1. A divergência deve ser verificada com o fornecedor e com o aviso.
O impacto real depende de como o produto emite e valida sessões, o que o registro não descreve.

Produtos e versões afetadas

Produto: Akinsoft Qr Menu.
Faixa afetada no registro: versões anteriores à s1.05.12.
O registro não lista uma versão corrigida. Confirme a build corrigida com o fornecedor.

Status de exploração

A CVE não consta no catálogo KEV da CISA neste registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Dados do EPSS não estão disponíveis no registro.

Correção e mitigação

Identifique todas as instalações do QR Menu e suas versões.
Atualize para uma versão fornecida pelo fabricante posterior à s1.05.12, conforme o limite de versão indicado no registro, e valide com o fornecedor.
Até a correção, limite a exposição de sessões administrativas ou voltadas a clientes sempre que possível e monitore atividade de sessão incomum.
Revise os avisos nacionais listados nas referências.

Orientações de detecção

Revise os logs da aplicação em busca de identificadores de sessão usados a partir de várias redes ou dispositivos.
Procure sessões que persistam de forma incomum após o login ou que apareçam antes da autenticação.
Monitore a atividade de contas após reutilização inesperada de sessões.

Limitações das informações disponíveis

O registro não inclui o texto do aviso do fornecedor, uma versão corrigida, EPSS, SSVC ou condições técnicas detalhadas. A divergência de CVSS entre NVD e CNA não foi resolvida. Os pré-requisitos exatos de exploração são desconhecidos.

Perguntas frequentes

A CVE-2025-7015 está sendo explorada ativamente?

Este registro não inclui a CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro indica que versões do QR Menu anteriores à s1.05.12 são afetadas. Nenhuma versão corrigida consta no registro, então confirme a build corrigida com o fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.