CVE-2025-66480

Nome do Software Vulnerável e Versões Afetadas Versões do Wildfire IM anteriores à 1.4.3

Descrição O componente im-server do Wildfire IM contém uma vulnerabilidade crítica na funcionalidade de upload de arquivos dentro de com.xiaoleilu.loServer.action.UploadFileAction. A aplicação expõe um endpoint de API ''/fs'' que lida com uploads de arquivos multipart, mas não sanitiza adequadamente o nome do arquivo fornecido pelo usuário. O método writeFileUploadData concatena diretamente o diretório de armazenamento configurado com o nome do arquivo da solicitação de upload, sem remover sequências de navegação de diretórios. Isso permite que um atacante grave arquivos arbitrários em qualquer local do sistema de arquivos do servidor onde o processo da aplicação tenha permissões de escrita, o que pode levar à Execução Remota de Código (RCE).

Recomendações Atualize o Wildfire IM para a versão 1.4.3 ou posterior.