PT-2026-24194 · Copyparty · Copyparty

Varshanknaik · Publicado 2026-03-10 · Atualizado 2026-03-16 · CVE-2026-30974

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Copyparty versões anteriores a 1.20.11

Descrição A opção de configuração nohtml do Copyparty, projetada para bloquear a execução de JavaScript em arquivos HTML carregados, não se estendia a imagens SVG. Um usuário com permissão de escrita poderia carregar um arquivo SVG contendo JavaScript embutido. Ao ser aberto por outro usuário, esse JavaScript seria executado no contexto do usuário que o abrisse. Isso poderia permitir que um ator malicioso movesse, excluísse ou carregasse arquivos usando a conta do usuário que abrisse o SVG. A opção nohtml bloqueava corretamente a execução de JavaScript em arquivos HTML, mas não levava em consideração imagens SVG.

Recomendações Atualize para a versão 1.20.11 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-30974

GHSA-M6HV-X64C-27MM

Produtos afetados

Copyparty

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/30xxx/CVE-2026-30974.json · Exploit
• https://github.com/9001/copyparty · Nota
• https://github.com/9001/copyparty/releases/tag/v1.20.11 · Nota
• https://github.com/9001/copyparty/security/advisories/GHSA-m6hv-x64c-27mm · Aviso do Fabricante
• https://github.com/9001/copyparty/commit/1c9f894e149b6be3cc7de81efc93a4ce4766e0e5 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-30974 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1rpx2ut/resumen_diario_de_vulnerabilidades_10032026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-30974 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2033361100368941124 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-m6hv-x64c-27mm · Aviso do Fabricante