CVE-2026-25156 in hotcrp
Riassunto
di VulDB • 17/06/2026
HotCRP è un software per la revisione delle conferenze. Le versioni di HotCRP da ottobre 2025 a gennaio 2026 hanno fornito documenti di tutti i tipi con l'intestazione Content-Disposition inline, causando la loro visualizzazione nel browser dell'utente anziché il download. (Il comportamento previsto era che solo i tipi `text/plain`, `application/pdf`, `image/gif`, `image/jpeg` e `image/png` fossero forniti in modalità inline, sebbene l'aggiunta di `save=0` all'URL del documento potesse richiedere la consegna inline per qualsiasi documento.) Ciò ha reso gli utenti che facevano clic su un link a un documento vulnerabili ad attacchi di cross-site scripting (XSS). Un documento HTML o SVG caricato sarebbe stato eseguito nel browser del visualizzatore con accesso alle credenziali HotCRP dell'utente, e il codice JavaScript in tale documento avrebbe potuto eventualmente effettuare chiamate arbitrarie all'API di HotCRP. Documenti malevoli potevano essere caricati nei campi di invio con tipo "file upload" o "attachment", o come allegati ai commenti. I campi di caricamento PDF non erano vulnerabili. Una ricerca dei documenti caricati su hotcrp.com non ha trovato prove di sfruttamento. La vulnerabilità è stata introdotta nel commit aa20ef288828b04550950cf67c831af8a525f508 (11 ottobre 2025), presente nelle versioni di sviluppo e in v3.2, ed è stata risolta nel commit 8933e86c9f384b356dc4c6e9e2814dee1074b323 e in v3.2.1. Inoltre, i commit c3d88a7e18d52119c65df31c2cc994edd2beccc5 e la versione v3.2.1 rimuovono il supporto per `save=0`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.