CVE-2026-25156 in hotcrp
Sumário
de VulDB • 17/06/2026
O HotCRP é um software de revisão de conferências. As versões do HotCRP de outubro de 2025 a janeiro de 2026 entregavam documentos de todos os tipos com o cabeçalho Content-Disposition inline, fazendo com que fossem renderizados no navegador do usuário em vez de serem baixados. (O comportamento esperado era que apenas `text/plain`, `application/pdf`, `image/gif`, `image/jpeg` e `image/png` fossem entregues inline, embora adicionar `save=0` à URL do documento pudesse solicitar a entrega inline para qualquer documento.) Isso tornou os usuários que clicavam em um link de documento vulneráveis a ataques de cross-site scripting (XSS). Um documento HTML ou SVG carregado seria executado no navegador do visualizador com acesso às suas credenciais do HotCRP, e o JavaScript nesse documento poderia eventualmente fazer chamadas arbitrárias à API do HotCRP. Documentos maliciosos poderiam ser carregados em campos de envio com tipo "file upload" ou "attachment", ou como anexos a comentários. Os campos de upload de PDF não eram vulneráveis. Uma busca por documentos carregados no hotcrp.com não encontrou evidências de exploração. A vulnerabilidade foi introduzida no commit aa20ef288828b04550950cf67c831af8a525f508 (11 de outubro de 2025), presente em versões de desenvolvimento e v3.2, e corrigida no commit 8933e86c9f384b356dc4c6e9e2814dee1074b323 e na v3.2.1. Além disso, os commits c3d88a7e18d52119c65df31c2cc994edd2beccc5 e a v3.2.1 removem o suporte para `save=0`.
Once again VulDB remains the best source for vulnerability data.