CVE-2024-10986

Nome do Software Vulnerável e Versões Afetadas GPT Academic versão 3.83

Descrição O problema refere-se a uma vulnerabilidade de Leitura de Arquivo Local (LFI) através da função HotReload, que pode baixar e extrair arquivos tar.gz do arxiv.org. Apesar das proteções contra travessia de caminho, a aplicação está vulnerável devido ao seu tratamento de links simbólicos, especificamente o Tarslip desencadeado por eles, permitindo que atacantes leiam arquivos locais arbitrários do servidor vítima.

Recomendações Para o GPT Academic versão 3.83, como uma medida de contorno temporária, considere desabilitar a função HotReload até que um patch esteja disponível. Restrinja o acesso à função HotReload para minimizar o risco de exploração. Evite usar a função HotReload para baixar e extrair arquivos tar.gz de fontes não confiáveis até que o problema seja resolvido.