« Volver al listado

CVE-2025-54428

Estado: AplazadaCrítica (9.8)—

RevelaCode is an AI-powered faith-tech project that decodes biblical verses, prophecies and global events into accessible language. In versions below 1.0.1, a valid MongoDB Atlas URI with embedded username and password was accidentally committed to the public repository. This could allow unauthorized access to production or staging databases, potentially leading to data exfiltration, modification, or deletion. This is fixed in version 1.0.1. Workarounds include: immediately rotating credentials for the exposed database user, using a secret manager (like Vault, Doppler, AWS Secrets Manager, etc.) instead of storing secrets directly in code, or auditing recent access logs for suspicious activity.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

URI de MongoDB con credenciales incrustadas en repositorio público es exposición en cadena de suministro (T1195). CWE-522 confirma almacenamiento inseguro de credenciales; impactos incluyen acceso a datos (T1552.001) y manipulación de BD (T1565.001).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict File and Directory PermissionsApplication Developer GuidanceVulnerability ScanningUser TrainingUser Account ManagementPassword Policies

Tecnologías afectadas (2)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mongodb — AtlasAIRevelacode — RevelacodeAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-54428",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-54428",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-07-28T20:35:45.643557Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "musombi123",
          "product": "RevelaCode-Backend",
          "versions": [
            {
              "status": "affected",
              "version": "< 1.0.1"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-07-28T21:15:27.327",
  "references": [
    {
      "url": "https://github.com/musombi123/RevelaCode-Backend/commit/95005cf4bacf1b005aef9d4b8e85237c98492d83",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/musombi123/RevelaCode-Backend/security/advisories/GHSA-m253-qvcr-cr48",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-522"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "RevelaCode is an AI-powered faith-tech project that decodes biblical verses, prophecies and global events into accessible language. In versions below 1.0.1, a valid MongoDB Atlas URI with embedded username and password was accidentally committed to the public repository. This could allow unauthorized access to production or staging databases, potentially leading to data exfiltration, modification, or deletion. This is fixed in version 1.0.1. Workarounds include: immediately rotating credentials for the exposed database user, using a secret manager (like Vault, Doppler, AWS Secrets Manager, etc.) instead of storing secrets directly in code, or auditing recent access logs for suspicious activity."
    },
    {
      "lang": "es",
      "value": "RevelaCode es un proyecto de tecnología religiosa basado en IA que decodifica versículos bíblicos, profecías y eventos globales en un lenguaje accesible. En versiones anteriores a la 1.0.1, una URI válida de MongoDB Atlas con nombre de usuario y contraseña integrados se envió accidentalmente al repositorio público. Esto podría permitir el acceso no autorizado a bases de datos de producción o de prueba, lo que podría provocar la exfiltración, modificación o eliminación de datos. Esto se solucionó en la versión 1.0.1. Las soluciones alternativas incluyen la rotación inmediata de las credenciales del usuario de la base de datos expuesta, el uso de un gestor de secretos (como Vault, Doppler, AWS Secrets Manager, etc.) en lugar de almacenar los secretos directamente en el código, o la auditoría de los registros de acceso recientes para detectar actividad sospechosa."
    }
  ],
  "lastModified": "2026-06-17T09:40:05.283",
  "sourceIdentifier": "security-advisories@github.com"
}