CVE-2026-92895

Nome do Software Vulnerável e Versões Afetadas Live2DWebCanvas versões anteriores a 2.2.2

Descrição Um problema de upload arbitrário de arquivos existe na função download one file(). A falha decorre da ausência de validação do tipo MIME e de uma lista branca de extensões de arquivo ao gravar arquivos baseados em entradas de manifesto controladas por atacantes no diretório do plugin. Atacantes não autenticados podem fazer o upload de arquivos executáveis, potencialmente levando à execução remota de código se a configuração apiType estiver definida como custom-local (modo de modelo auto-hospedado). Esta configuração específica é uma opção não padrão que requer uma licença paga e expõe o nonce REST e tokens de sessão de uso único em páginas front-end.

Recomendações Atualize o Live2DWebCanvas para a versão 2.2.2 ou posterior. Como mitigação temporária, evite usar a configuração custom-local para a definição apiType.