PT-2025-9217 · Unknown · Osuuu Lightpicture

Sheratan + 1 · Publicado 2025-03-02 · Atualizado 2025-03-03 · CVE-2025-1835

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas osuuu LightPicture versão 1.2.2

Descrição Uma vulnerabilidade crítica foi identificada no osuuu LightPicture, afetando a função de upload no arquivo /app/controller/Api.php. A manipulação do argumento file resulta em upload sem restrições. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado.

Recomendações Para o osuuu LightPicture versão 1.2.2, considere desativar a função de upload em /app/controller/Api.php até que um patch esteja disponível para prevenir o upload de arquivos sem restrições. Restrinja o acesso ao arquivo /app/controller/Api.php para minimizar o risco de exploração. Evite utilizar o argumento file no endpoint da API afetado até que a questão seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-1835

Produtos afetados

Osuuu Lightpicture

Referências · 10

• 🔥 https://github.com/sheratan4/cve/issues/1 · Exploit
• https://t.me/cvedetector/19272 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1896205109022863621 · Publicação no Twitter
• https://t.me/cvenotify/113024 · Publicação no Telegram
• https://vuldb.com/?submit.505007 · Nota
• https://vuldb.com/?ctiid.298102 · Nota
• https://twitter.com/CVEnew/status/1896399750879912286 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1896345991311241709 · Publicação no Twitter
• https://vuldb.com/?id.298102 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-1835 · Nota de Segurança