CVE-2025-35432
Vulnérabilité moyenne dans Thorium (CISA)
CVSS 6.9 · Moyenne
EPSS 0.6%
CISA•Thorium•Versions : 1.0.0, 1.1.1, <1.1.1
Description
CISA Thorium does not rate limit requests to send account verification email messages. A remote unauthenticated attacker can send unlimited messages to a user who is pending verification. Fixed in 1.1.1 by adding a rate limit set by default to 10 minutes.
Gravité et risque d'exploitation
CVE-2025-35432 obtient un score CVSS de 6.9/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.56 %, ce qui la place devant 45.6 % des CVE référencées.
Que faire ?
- Vérifiez si Thorium (versions 1.0.0, 1.1.1, <1.1.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/cisagov/thorium/releases/tag/1.1.1
- https://github.com/cisagov/thorium/commit/7c94a0b9bc2dc55e0c307360452f348bac06820c#diff-bf9baa11b76cd169902a976bd17a5a6ee95a4098b2d3d150ba7d8f85b7e21dc9R281-R334
- https://www.cve.org/CVERecord?id=CVE-2025-35432
- https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2025/va-25-259-01.json