CVE-2025-62796

Nome do Software Vulnerável e Versões Afetadas Versões do PrivateBin de 1.7.7 a 2.0.1

Descrição O PrivateBin é um pastebin online projetado para garantir que o servidor não tenha conhecimento dos dados colados. As versões de 1.7.7 a 2.0.1 estão suscetíveis a injeção persistente de HTML. Isso ocorre por meio de um attachment name não sanitizado quando os anexos estão habilitados. Um atacante pode modificar o attachment name antes da criptografia, resultando na inserção de HTML arbitrário sem escape na página após a descriptografia, próximo à indicação de tamanho do arquivo. Isso pode levar a ataques de redirecionamento (por exemplo, usando meta refresh) e desfiguração do site, potencialmente possibilitando ataques de phishing. O problema foi introduzido na versão 1.7.7 e corrigido na versão 2.0.2. A Política de Segurança de Conteúdo recomendada normalmente bloqueia a execução de scripts, limitando o impacto na confidencialidade.

Recomendações Atualize para a versão 2.0.2 ou posterior. Aplique a Política de Segurança de Conteúdo recomendada. Implante o PrivateBin em um domínio separado. Desabilite os anexos.