CVE-2025-34336

Nome do Software Vulnerável e Versões Afetadas eGovFramework/egovframe-common-components versões até e incluindo a 4.3.1

Descrição O software contém uma vulnerabilidade de upload de arquivo não autenticado através dos endpoints da API /utl/wed/insertImage.do e /utl/wed/insertImageCk.do. Esses endpoints aceitam requisições multipart sem autenticação e armazenam os arquivos enviados no servidor. Em versões anteriores à 4.1.2, um atacante controla o tipo MIME da resposta, permitindo-lhe usar a aplicação como um serviço de hospedagem de arquivos para conteúdo arbitrário. A partir da versão 4.1.2, arquivos que não são de imagem são servidos com o tipo de conteúdo application/octet-stream, impedindo o controle do atacante sobre o tipo de conteúdo. A vulnerabilidade permite que um atacante não autenticado envie arquivos e obtenha uma URL de download. A extensão do nome do arquivo está em lista branca, mas o atacante controla o conteúdo do arquivo.

Recomendações Versões anteriores à 4.1.2: Corrija o problema do tipo MIME controlado pelo atacante para impedir a disponibilização de conteúdo arbitrário. Versões até e incluindo a 4.3.1: Implemente autenticação para os endpoints /utl/wed/insertImage.do e /utl/wed/insertImageCk.do.