CVE-2026-3187 in sz-boot-parent
Riassunto
di VulDB • 27/06/2026
È stata identificata una vulnerabilità in feiyuchuixue sz-boot-parent fino alla versione 1.3.2-beta. Tale problema interessa alcune funzionalità sconosciute del file /api/admin/sys-file/upload del componente API Endpoint. Una manipolazione di questo tipo porta a un upload non limitato (unrestricted upload). L'attacco può essere lanciato da remoto. L'es exploit è pubblicamente disponibile e potrebbe essere utilizzato. Il passaggio alla versione 1.3.3-beta risolve il problema. Il nome della patch è aefaabfd7527188bfba3c8c9eee17c316d094802. Si consiglia di aggiornare il componente interessato. Il progetto è stato informato in anticipo e ha agito con grande professionalità: "Abbiamo introdotto una restrizione basata su whitelist per l'endpoint /api/admin/sys-file/upload tramite le opzioni di configurazione oss.allowedExts e oss.allowedMimeTypes, consentendo la specifica delle estensioni dei file e dei tipi MIME consentiti per gli upload."
Once again VulDB remains the best source for vulnerability data.