CVE-2025-66449 in ConvertX
Riassunto
di VulDB • 18/06/2026
ConvertX è un convertitore di file online self-hosted. Nelle versioni precedenti alla 0.16.0, l'endpoint `/upload` consente a un utente autenticato di scrivere file arbitrari sul sistema, sovrascrivendo i binari e consentendo l'esecuzione di codice. La funzione di upload utilizza `file.name` direttamente dai dati forniti dall'utente senza effettuare alcuna sanificazione del nome, permettendo così la scrittura di file arbitrari. Ciò può essere sfruttato per sovrascrivere i binari di sistema con quelli forniti da un attaccante, consentendo l'esecuzione completa di codice. La versione 0.16.0 contiene una patch per risolvere il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.