Umbraco · Umbraco Forms · CVE-2021-37334
**Nome do software vulnerável e versões afetadas**
Umbraco Forms, versões 4.0.0 a 8.7.5
**Descrição**
Uma falha de segurança no Umbraco Forms pode levar a um ataque de execução remota de código e/ou à exclusão arbitrária de arquivos. O problema ocorre porque a validação da extensão do arquivo é realizada após o arquivo ter sido armazenado em um diretório temporário, normalmente em %BASEDIR%/APP DATA/TEMP/FileUploads/. Embora o acesso a esse diretório seja restrito pelo arquivo web.config raiz, um invasor pode contornar essa restrição enviando um arquivo web.config especialmente criado para o diretório temporário. Isso permite o envio de um arquivo de script malicioso para executar código arbitrário e comandos do sistema no servidor.
**Recomendações**
Para as versões 4.0.0 a 8.7.5 do Umbraco Forms, considere desativar a funcionalidade de envio de arquivos até que uma correção esteja disponível. Restrinja o acesso ao diretório temporário %BASEDIR%/APP DATA/TEMP/FileUploads/ para minimizar o risco de exploração. Evite usar o local padrão de armazenamento de arquivos dentro da estrutura de diretórios do aplicativo. Como solução temporária, considere implementar validação adicional para extensões de arquivo antes de armazenar arquivos no diretório temporário. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.