PT-2025-11092 · Plenti+1 · Plenti+1
Ahmetak4N
·
Publicado
2025-02-05
·
Atualizado
2025-03-15
·
CVE-2025-26260
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas:
Versões do Plenti 0.7.16 e anteriores
Descrição:
A falha permite a execução de código quando os usuários fazem upload de arquivos '.svelte' através do endpoint /postLocal e definem o nome do arquivo como código JavaScript. O servidor executa o nome do arquivo enviado, causando execução de código. Isso pode levar a um impacto de Negação de Serviço devido ao sandboxing. Caso exista uma vulnerabilidade no v8go que permita escapar do sandbox, diferentes impactos podem ser observados.
Recomendações:
Para as versões do Plenti 0.7.16 e anteriores, como medida de contorno temporária, considere restringir o acesso ao endpoint /postLocal para minimizar o risco de exploração. Evite utilizar o parâmetro
file no endpoint da API afetado até que a questão seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Exploit
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Plenti
V8Go