PT-2025-36397 · Unknown+3 · Internetarchive+3

Pengowray · Publicado 2025-09-05 · Atualizado 2026-02-02 · CVE-2025-58438

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas versões do internetarchive 5.5.0 e anteriores

Descrição A biblioteca internetarchive contém uma vulnerabilidade de traversia de diretório no método File.download(). O método não sanitiza adequadamente os nomes de arquivo fornecidos pelo usuário nem valida o caminho final de download. Um nome de arquivo maliciosamente elaborado contendo sequências de traversia de caminho (por exemplo, ../../../../windows/system32/file.txt) ou caracteres ilegais poderia permitir que um invasor gravasse arquivos fora do diretório de destino pretendido. Isso pode levar a negação de serviço, escalonamento de privilégios ou execução remota de código. Todos os sistemas operacionais são afetados, com um risco potencialmente maior para sistemas Windows.

Recomendações Atualize para a versão 5.5.1 ou posterior do internetarchive.

Exploit

Correção

DoS

LPE

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-58438

DLA-4314-1

DSA-6035-1

GHSA-WX3R-V6H7-FRJP

USN-7989-1

Produtos afetados

Debian

Linuxmint

Ubuntu

Internetarchive

Referências · 23

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/58xxx/CVE-2025-58438.json · Exploit
• https://github.com/jjjake/internetarchive/releases/tag/v5.5.1 · Nota
• https://github.com/jjjake/internetarchive/commit/cba2d459e10a9489fb35caeba0b03e80f5f5d7c2 · Nota
• https://github.com/jjjake/internetarchive/security/advisories/GHSA-wx3r-v6h7-frjp · Nota
• https://github.com/jjjake/internetarchive · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-58438 · Aviso do Fabricante
• https://t.me/cveNotify/134566 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1964437059243741683 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wx3r-v6h7-frjp · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-7989-1 · Aviso do Fabricante
• https://twitter.com/SecAideInfo/status/1965358424037748752 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-58438 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-58438 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-58438 · Nota de Segurança
• https://lists.debian.org/debian-lts-announce/2025/09/msg00030.html · Nota