PT-2025-17490 · Unblu · Unblu Spark+1

Andrei Dabrakou · Publicado 2025-04-22 · Atualizado 2025-06-23 · CVE-2025-3518

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Não é possível determinar o nome do produto.

Descrição Um usuário pode fazer upload de um arquivo para uma conversa mesmo que a funcionalidade de upload de arquivos esteja desativada. O sistema permite o upload de arquivos por meio de requisições diretas à API, apesar de a funcionalidade estar desativada para pelo menos um caso de uso. No entanto, a interceptação de arquivos e as regras de tipos de arquivos permitidos continuam sendo aplicadas corretamente. Este problema não representa uma preocupação se o compartilhamento de arquivos estiver geralmente habilitado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

BDU:2026-00061

CVE-2025-3518

Produtos afetados

Unblu Spark

Spark

Referências · 9

• https://bdu.fstec.ru/vul/2026-00061 · Nota de Segurança
• https://vuldb.com/de/?id.305856 · Nota
• https://unblu.com/en/docs/latest/security-bulletins/#UBL-2025-002 · Aviso do Fabricante
• https://t.me/cvenotify/126416 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1914604385700614270 · Publicação no Twitter
• https://t.me/cvenotify/119303 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-3518 · Aviso do Fabricante
• https://t.me/cvedetector/23488 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-3518 · Nota de Segurança