CVE-2025-58053 描述了 Galette 成员管理 Web 应用程序中存在的权限提升漏洞。攻击者可以通过构造恶意 POST 请求，利用此漏洞提升其权限，从而可能导致未经授权的访问和操作。该漏洞影响 Galette 版本小于或等于 1.2.0 的用户。已发布 1.2.0 版本修复了此安全问题。
该漏洞允许攻击者通过伪造的 POST 请求更新现有帐户，从而获得比预期更高的权限。这可能导致攻击者未经授权地访问敏感数据，修改用户配置，甚至完全控制 Galette 应用程序。攻击者可以利用此漏洞执行恶意代码，窃取用户凭据，或破坏应用程序的正常运行。由于 Galette 通常用于管理非营利组织的成员信息，因此该漏洞可能对这些组织造成严重影响，导致数据泄露和声誉损失。
目前没有公开的利用代码 (PoC)。该漏洞已于 2025 年 12 月 19 日公开披露。CISA 尚未将其添加到 KEV 目录。由于缺乏公开的利用代码，当前利用该漏洞的可能性较低，但仍应尽快采取缓解措施。
Non-profit organizations utilizing Galette for membership management are at risk. Specifically, deployments with older versions of Galette (≤ 1.2.0) and those lacking robust input validation on account update forms are particularly vulnerable. Shared hosting environments where multiple Galette instances share resources could also experience broader impact if one instance is compromised.
• wordpress / composer / npm:
grep -r 'POST /account/update' /var/www/galette/app/config/routing.php• generic web:
curl -I http://your-galette-instance/account/update | grep HTTP/1.1 200 OKdisclosure
漏洞利用状态
EPSS
0.07% (20% 百分位)
CISA SSVC
最有效的缓解措施是立即将 Galette 升级到 1.2.0 版本或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如限制对帐户更新功能的访问，并加强对 POST 请求的验证。此外，建议定期审查 Galette 的配置，确保其遵循安全最佳实践。升级后，请验证新版本是否已成功安装，并确认权限控制是否正常工作。
Actualice Galette a la versión 1.2.0 o superior. Esta versión corrige la vulnerabilidad de escalada de privilegios. La actualización se puede realizar a través del panel de administración de Galette o descargando la nueva versión del sitio web oficial y reemplazando los archivos.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-58053 是 Galette 成员管理 Web 应用程序中存在的权限提升漏洞，允许攻击者通过伪造的 POST 请求获得更高的权限。
如果您正在使用 Galette 版本小于或等于 1.2.0，则可能受到此漏洞的影响。请立即升级到 1.2.0 或更高版本。
最有效的修复方法是升级到 Galette 1.2.0 或更高版本。
目前没有公开的利用代码，但建议尽快采取缓解措施以降低风险。
请访问 Galette 官方网站或安全公告页面，查找有关 CVE-2025-58053 的详细信息。