CVE-2026-25156

Nome do Software Vulnerável e Versões Afetadas Versões do HotCRP de outubro de 2025 a janeiro de 2026

Descrição O HotCRP é um software de revisão de conferências. As versões entre outubro de 2025 e janeiro de 2026 entregavam documentos de todos os tipos com Content-Disposition inline, fazendo com que fossem renderizados no navegador do usuário em vez de serem baixados. Esse comportamento era destinado apenas a arquivos text/plain, application/pdf, image/gif, image/jpeg e image/png. No entanto, adicionar save=0 à URL do documento poderia solicitar a entrega inline para qualquer documento. Isso tornava os usuários vulneráveis a ataques de script entre sites ao clicarem em um link de documento. Documentos HTML ou SVG carregados poderiam ser executados no navegador do visualizador com acesso às suas credenciais do HotCRP, permitindo que o Javascript dentro desses documentos realizasse chamadas arbitrárias à API do HotCRP. Documentos maliciosos poderiam ser carregados em campos de submissão com tipo “upload de arquivo” ou “anexo” ou como anexos a comentários. Campos de upload de PDF não eram vulneráveis. Uma busca por documentos carregados no hotcrp.com não encontrou evidências de exploração. O problema foi introduzido no commit aa20ef288828b04550950cf67c831af8a525f508 e corrigido no commit 8933e86c9f384b356dc4c6e9e2814dee1074b323.

Recomendações Atualize para a versão 3.2.1 do HotCRP ou superior.