CVE-2025-67720

Nome do Software Vulnerável e Versões Afetadas Versões 2.3.68 e anteriores do Pyrofork

Descrição O Pyrofork é um framework assíncrono de API MTProto. As versões 2.3.68 e anteriores não sanitizam adequadamente os nomes de arquivos recebidos de mensagens do Telegram antes de usá-los na construção do caminho do arquivo dentro do método download media. Ao baixar mídia sem um nome de arquivo personalizado, o método usa o atributo file name do objeto de mídia, que se origina do DocumentAttributeFilename do Telegram e é controlado pelo remetente da mensagem. Isso pode levar a um problema de path traversal.

Recomendações Atualize para a versão 2.3.69 ou posterior.