CVE-2009-4445 in IIS
Sumário
de VulDB • 28/06/2026
O Microsoft Internet Information Services (IIS), quando utilizado em conjunto com aplicativos de upload não especificados de terceiros, permite que atacantes remotos criem arquivos vazios com extensões arbitrárias por meio de um nome de arquivo contendo uma extensão inicial seguida por dois pontos (:) e uma extensão segura, conforme demonstrado pelo upload de um arquivo .asp:.jpg que resulta na criação de um arquivo vazio .asp. Isso está relacionado ao suporte à sintaxe de nomes de arquivos NTFS Alternate Data Streams (ADS). NOTA: pode-se argumentar que esta é uma vulnerabilidade no produto de terceiros e não no IIS, pois o produto de terceiro deveria aplicar suas restrições de extensão à porção do nome de arquivo antes dos dois pontos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.