CVE-2026-39904

Nome do Software Vulnerável e Versões Afetadas Gophish versões anteriores a 0.12.2

Description Usuários autenticados com a função de Usuário podem causar a negação de serviço ao fazer o upload de um documento do Office especialmente criado como anexo de modelo de e-mail. A função ApplyTemplate() em models/attachment.go processa esses documentos como arquivos ZIP e utiliza ioutil.ReadAll() em cada entrada de arquivo sem impor restrições de tamanho ao conteúdo descompactado. Isso permite que uma bomba ZIP—um arquivo malicioso projetado para expandir para um tamanho enorme quando descompactado—consuma vários gigabytes de memória do servidor, levando o sistema operacional a encerrar o processo.

Recommendations Atualize o Gophish para a versão 0.12.2 ou posterior.