CVE-2025-54307

Nome do Software Vulnerável e Versões Afetadas Thermo Fisher Torrent Suite versão 5.18.1

Descrição A aplicação Django dentro do Thermo Fisher Torrent Suite possui uma falha relacionada ao upload de arquivos. Os endpoints da API /configure/plugins/plugin/upload/zip/ e /configure/newupdates/offline/bundle/upload/ permitem que usuários autenticados façam upload de arquivos ZIP. A função plupload file upload sanitiza inadequadamente os nomes dos arquivos, levando a um problema de path traversal. Isso permite que um atacante grave arquivos arbitrários no servidor, potencialmente sobrescrevendo executáveis como pdflatex. A função write report pdf então executa este arquivo sobrescrito usando subprocess.Popen ao processar solicitações para o endpoint /report/latex/(d+).pdf, resultando em execução remota de código. O parâmetro name e o nome do arquivo enviado são usados para construir o caminho do arquivo de destino sem a sanitização adequada.

Recomendações Garanta que todos os nomes de arquivos de entrada sejam rigorosamente sanitizados antes de construir caminhos de arquivo. Implemente validação estrita de extensões de arquivo e restrinja os caracteres permitidos em nomes de arquivos para prevenir path traversal. Como solução temporária, considere restringir o acesso aos endpoints da API /configure/plugins/plugin/upload/zip/ e /configure/newupdates/offline/bundle/upload/.