PT-2026-4471 · Miniserve · Miniserve

CVE-2025-67124 · Publicado 2026-01-23 · Atualizado 2026-01-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas miniserve versão 0.32.0

Descrição Existe uma condição de corrida time-of-check to time-of-use (TOCTOU) e de symlink no miniserve quando os uploads estão habilitados. Isso pode permitir que um atacante sobrescreva arquivos arbitrários fora do diretório de upload pretendido em implantações onde o atacante possa criar ou substituir entradas do sistema de arquivos no diretório de destino do upload. O problema ocorre durante a finalização do upload.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, considere desabilitar os uploads até que um patch esteja disponível.

Exploit

Correção

Time Of Check To Time Of Use

Link Following

Enumeração de Fraquezas

CWE-367

CWE-59

Identificadores relacionados

CVE-2025-67124

GHSA-MXC8-4JQF-368Q

Produtos afetados

Miniserve

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67124.json · Exploit
• 🔥 https://gist.github.com/thesmartshadow/55688f87f8b985eb530e07d00ef8c63f · Exploit
• https://github.com/svenstaro/miniserve · Nota
• https://twitter.com/_cvereports/status/2014981571082682716 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-67124 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-67124 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mxc8-4jqf-368q · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2015362493192011983 · Publicação no Twitter