CVE-2025-58180 in OctoPrint
Riassunto
di VulDB • 19/06/2026
OctoPrint fornisce un'interfaccia web per il controllo di stampanti 3D per il consumo domestico. Le versioni di OctoPrint fino alla 1.11.2 incluse contengono una vulnerabilità che consente a un attaccante autenticato di caricare un file con un nome file appositamente creato, il quale permetterà l'esecuzione di comandi arbitrari se tale nome file viene incluso in un comando definito in un handler di eventi di sistema e tale evento viene attivato. Se non sono stati configurati handler di eventi che eseguono comandi di sistema utilizzando i nomi file caricati come parametri, questa vulnerabilità non ha impatto. La vulnerabilità è risolta nella versione 1.11.3. Come soluzione temporanea, gli amministratori di OctoPrint che hanno configurato handler di eventi che includono qualsiasi tipo di segnaposto basato su nome file dovrebbero disabilitarli impostando la proprietà `enabled` su `False` o deselezionando la casella di controllo "Enabled" nel Event Manager basato su GUI. In alternativa, gli amministratori di OctoPrint dovrebbero impostare `feature.enforceReallyUniversalFilenames` su `true` in `config.yaml` e riavviare OctoPrint, quindi verificare i caricamenti esistenti e assicurarsi di eliminare eventuali file sospetti. Come sempre, si consiglia agli amministratori di OctoPrint di non esporre OctoPrint su reti ostili come Internet pubblico e di verificare chi ha accesso alla propria istanza.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.