PT-2026-39150 · Unknown · Dash-Uploader

Muhammad Fitri Bin Mohd Sultan · Publicado 2026-05-08 · Atualizado 2026-06-11 · CVE-2026-38360

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas fohrloop dash-uploader versões 0.1.0 até 0.7.0a2

Descrição Uma falha de traversal de diretório permite que um invasor remoto execute código arbitrário. Isso é possível por meio do componente dash uploader/httprequesthandler.py, especificamente nas funções aseHttpRequestHandler.get temp root() e BaseHttpRequestHandler. post().

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Resource Exhaustion

Path traversal

Enumeração de Fraquezas

CWE-400

CWE-22

CWE-670

Identificadores relacionados

BDU:2026-06515

CVE-2026-38360

GHSA-3RF6-X59V-5JFV

Produtos afetados

Dash-Uploader

Referências · 21

• 🔥 https://github.com/a1ohadance/CVE-2026-38360 · Exploit
• https://github.com/github/advisory-database/pull/7635 · Nota
• https://github.com/fohrloop/dash-uploader/blob/dev/dash_uploader/httprequesthandler.py · Nota
• https://github.com/fohrloop/dash-uploader/blob/stable/dash_uploader/httprequesthandler.py · Nota
• https://github.com/fohrloop/dash-uploader/issues/153 · Nota
• https://github.com/fohrloop/dash-uploader · Nota
• ❌ https://github.com/lmigtech/dash_uploader · Nota, Deleted
• https://twitter.com/CVEnew/status/2053559180309467389 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054136083030458879 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054136082199937028 · Publicação no Twitter
• https://pypi.org/project/dash-uploader · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-38360 · Nota de Segurança
• https://t.me/CVEtracker/53139 · Publicação no Telegram
• https://twitter.com/lyrie_ai/status/2054136084922093748 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-06515 · Nota de Segurança