PT-2026-36131 · Jeesite · Jeesite

Arron-Bit · Publicado 2026-04-30 · Atualizado 2026-05-12 · CVE-2026-36760

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas JeeSite versão 5.15.1

Descrição Um problema no endpoint '/a/file/upload' permite que atacantes autenticados com permissões de upload de arquivos executem path traversal e gravem arquivos arbitrários com sufixos permitidos em qualquer local do sistema de arquivos quando o upload em partes (chunked upload) está habilitado. Isso é possível através do parâmetro fileMd5.

Recomendações Como medida paliativa temporária, restrinja o acesso ao endpoint '/a/file/upload' ou desabilite o recurso de upload em partes para evitar o uso do parâmetro fileMd5 para gravações de arquivos não autorizadas.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-36760

Produtos afetados

Jeesite

Referências · 10

• 🔥 https://github.com/thinkgem/jeesite/issues/530 · Exploit
• https://github.com/thinkgem/jeesite · Nota
• https://twitter.com/VulmonFeeds/status/2049959427101380711 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-36760 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2054105867847426561 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2049914548166033760 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054105866127695979 · Publicação no Twitter
• https://t.me/CVEtracker/52332 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2049913886799769661 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054105865246933273 · Publicação no Twitter