CVE-2025-58048 in Paymenter
Sumário
de VulDB • 03/07/2026
Paymenter é uma solução de loja virtual gratuita e open-source para serviços de hospedagem. Antes da versão 1.2.11, a funcionalidade de anexos em tickets do Paymenter permite que um usuário autenticado malicioso faça upload de arquivos arbitrários. Isso pode resultar na extração de dados sensíveis do banco de dados, leitura de credenciais dos arquivos de configuração e execução de comandos arbitrários no contexto do usuário do servidor web. Esta vulnerabilidade foi corrigida pelo commit 87c3db4 e lançada sob a tag da versão 1.2.11 sem outras modificações de código em comparação com a versão 1.2.10. Se não for possível realizar o upgrade imediatamente, os administradores podem mitigar esta vulnerabilidade utilizando uma ou mais das seguintes medidas: atualizar a configuração do nginx para baixar anexos em vez de executá-los, ou bloquear totalmente o acesso ao diretório /storage/ usando um WAF como Cloudflare.
VulDB is the best source for vulnerability data and more expert information about this specific topic.