PT-2025-11092 · Plenti+1 · Plenti+1

Ahmetak4N

·

Publicado

2025-02-05

·

Atualizado

2025-03-15

·

CVE-2025-26260

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas: Versões do Plenti 0.7.16 e anteriores
Descrição: A falha permite a execução de código quando os usuários fazem upload de arquivos '.svelte' através do endpoint /postLocal e definem o nome do arquivo como código JavaScript. O servidor executa o nome do arquivo enviado, causando execução de código. Isso pode levar a um impacto de Negação de Serviço devido ao sandboxing. Caso exista uma vulnerabilidade no v8go que permita escapar do sandbox, diferentes impactos podem ser observados.
Recomendações: Para as versões do Plenti 0.7.16 e anteriores, como medida de contorno temporária, considere restringir o acesso ao endpoint /postLocal para minimizar o risco de exploração. Evite utilizar o parâmetro file no endpoint da API afetado até que a questão seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Code Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2025-26260
GHSA-323W-6P85-26FR
GHSA-MJ4V-HP69-27X5
GO-2025-3454
GO-2025-3515
OPENSUSE-SU-2025:14893-1

Produtos afetados

Plenti
V8Go