PT-2026-23954 · Bytedesk · Bytedesk

Zast.Ai · CVE-2026-3748 · Publicado 2026-03-08 · Atualizado 2026-03-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Bytedesk até a 1.3.9

Descrição Existe uma falha de segurança no Bytedesk que permite upload de arquivos sem restrições. Este problema está presente no componente SVG File Handler, especificamente dentro da função uploadFile localizada no arquivo source-code/src/main/java/com/bytedesk/core/upload/UploadRestController.java. A exploração desta falha é possível remotamente e um exploit foi divulgado publicamente.

Recomendações Atualize para a versão 1.4.5.1 do Bytedesk para corrigir este problema.

Exploit

Correção

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2026-3748

Produtos afetados

Bytedesk

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/3xxx/CVE-2026-3748.json · Exploit
• 🔥 https://github.com/Bytedesk/bytedesk/issues/18#issue-3993448721 · Exploit
• https://github.com/Bytedesk/bytedesk/releases/tag/v1.4.5.1 · Correção
• https://github.com/Bytedesk/bytedesk/issues/18#issuecomment-3976672973 · Aviso do Fabricante
• https://github.com/Bytedesk/bytedesk/issues/18 · Aviso do Fabricante
• https://github.com/Bytedesk/bytedesk/commit/975e39e4dd527596987559f56c5f9f973f64eff7 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-3748 · Nota de Segurança
• https://vuldb.com/?ctiid.349726 · Nota
• https://github.com/Bytedesk/bytedesk · Nota
• https://t.me/CVEtracker/46819 · Publicação no Telegram
• https://vuldb.com/?submit.768028 · Nota
• https://vuldb.com/?id.349726 · Nota
• https://osv.dev/vulnerability/CVE-2026-3748 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2030688089652273453 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2030747849638711647 · Publicação no Twitter