CVE-2025-22927

Nome do Software Vulnerável e Versões Afetadas OS4ED openSIS versões 8.0 a 9.1

Descrição A vulnerabilidade permite que atacantes executem uma traversia de diretório ao enviar uma solicitação POST manipulada para "/Modules.php?modname=messaging/Inbox.php&modfunc=save&filename". Isso possibilita que atacantes potencialmente acessem ou modifiquem arquivos fora do diretório previsto.

Recomendações Para as versões 8.0 a 9.1 do OS4ED openSIS, considere restringir o acesso ao endpoint "/Modules.php?modname=messaging/Inbox.php&modfunc=save&filename" até que um patch esteja disponível. Como medida temporária, evite utilizar o parâmetro filename no endpoint da API afetado até que o problema seja resolvido.