PT-2025-39293 · Datart · Datart

Xiaoxiaoranxxx · Publicado 2025-09-24 · Atualizado 2025-10-10 · CVE-2025-56815

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Datart versão 1.0.0-rc.3

Descrição O software está suscetível a uma vulnerabilidade de Travessia de Diretório através de um upload de arquivo sem restrições. O servidor utiliza MultipartFile.transferTo() para salvar arquivos enviados em um caminho controlável pelo usuário sem validação suficiente do nome do arquivo. Isso permite a potencial manipulação do local de salvamento do arquivo. O endpoint da API vulnerável é /viz/image utilizando o método POST. O objeto MultipartFile é utilizado no processo.

Recomendações Aplique validação rigorosa ao nome do arquivo antes de salvar o arquivo enviado para prevenir a travessia de diretório.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-56815

Produtos afetados

Datart

Referências · 8

• 🔥 https://github.com/xiaoxiaoranxxx/CVE-2025-56815 · Exploit
• https://github.com/running-elephant/datart/tags · Nota
• https://twitter.com/CVEnew/status/1970892728083898410 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-56815 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1970908004070404466 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-56815 · Aviso do Fabricante
• https://twitter.com/SecAideInfo/status/1971880750837289185 · Publicação no Twitter
• https://t.me/cveNotify/138271 · Publicação no Telegram