PT-2025-16351 · Yauzl+1 · Yauzl+1

Ori Hollander · Publicado 2025-04-15 · Atualizado 2025-04-15 · CVE-2025-32949

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas PeerTube (versões afetadas não especificadas)

Descrição Este problema permite que qualquer usuário autenticado faça o servidor consumir grandes quantidades de espaço em disco ao extrair uma Bomba Zip. Quando a importação de usuários está habilitada, o que é a configuração padrão, qualquer usuário registrado pode fazer upload de um arquivo para importação. A biblioteca yauzl, utilizada para ler o arquivo, não possui um mecanismo para detectar ou impedir a extração de uma Bomba Zip, levando ao esgotamento do espaço em disco ao utilizar a funcionalidade de Importação de Usuários com uma Bomba Zip.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

Enumeração de Fraquezas

CWE-409

Identificadores relacionados

CVE-2025-32949

Produtos afetados

Peertube

Yauzl

Referências · 8

• 🔥 https://research.jfrog.com/vulnerabilities/peertube-archive-resource-exhaustion · Exploit
• https://github.com/Chocobozzz/PeerTube/releases/tag/v7.1.1 · Correção
• https://t.me/cvetracker/21642 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-32949 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-32949 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1912185912902975619 · Publicação no Twitter
• https://t.me/cvedetector/22971 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1912163026037260723 · Publicação no Twitter