CVE-2026-102366

Nome do Software Vulnerável e Versões Afetadas mall4j versões anteriores a 4.1

Description O software contém um problema de upload de arquivo irrestrito nos endpoints do FileController. Esses endpoints carecem de verificações de autorização adequadas e não validam os tipos de arquivos enviados. Um invasor autenticado pode fazer o upload de arquivos HTML ou SVG para o caminho de armazenamento local. Quando um administrador acessa esses arquivos, os scripts enviados são executados em seu navegador, resultando em cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Recommendations Atualize o mall4j para uma versão posterior a 4.0. Restrinja o acesso aos endpoints do FileController apenas a usuários administrativos autorizados. Implemente uma validação rigorosa para os tipos de arquivos enviados via FileController para bloquear arquivos HTML e SVG.