CVE-2025-27500

Nome do Software Vulnerável e Versões Afetadas Versões do OpenZiti anteriores a 3.7.1

Descrição O problema diz respeito a um endpoint, "/api/upload", no painel administrativo que pode ser acessado sem autenticação. Este endpoint permite o upload de arquivos via HTTP POST, os quais são então armazenados no nó e acessíveis via URL. Se um arquivo malicioso contendo código for enviado e acessado, isso pode levar a um ataque de cross-site scripting armazenado quando executado no contexto do navegador do usuário. A função não é mais necessária e foi desativada, pois o ziti-console está em transição de uma aplicação de servidor node para uma aplicação de página única.

Recomendações Para versões anteriores a 3.7.1, atualize para a versão 3.7.1 para resolver o problema. Como solução temporária, considere desabilitar o acesso ao endpoint "/api/upload" até que a atualização seja aplicada.