PT-2026-108927

CVE-2026-108101

Publicado

2026-10-09

Atualizado

2026-10-09

Descrição por

CVSS 4.0

7.7

Alta

MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas HortusFox (hortusfox-web) versões anteriores a 6.4

Descrição Um problema de upload de arquivo irrestrito existe no PlantAttachmentModel que permite que usuários autenticados armazenem arquivos com extensões fornecidas pelo cliente no diretório public/attachments/. Ao utilizar o endpoint '/plants/attachments/add', invasores podem fazer o upload de arquivos HTML ou SVG para realizar cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor e servidos a outros usuários. Além disso, se o .htaccess não for aplicado, arquivos PHP podem ser carregados para executar código arbitrário no servidor.

Recomendações Atualize o HortusFox (hortusfox-web) para a versão 6.4 ou posterior. Restrinja o acesso ao endpoint '/plants/attachments/add' para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Hackchang

Leediay153

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-434: Unrestricted Upload of File with Dangerous Type

Identificadores relacionados