CVE-2024-24025

Novel-Plus versões 4.3.0-RC1 e anteriores

Existe uma vulnerabilidade relacionada ao upload de arquivos, permitindo que um invasor realize downloads arbitrários de arquivos ao passar um parâmetro filename especialmente criado. Esta vulnerabilidade está relacionada à função upload() no FileController em com.java2nb.common.controller.FileController.

Para as versões 4.3.0-RC1 e anteriores do Novel-Plus, considere desativar a função upload() no FileController como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso ao FileController para minimizar o risco de exploração. Evite usar o parâmetro filename no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.