CVE-2026-82450

Nome do Software Vulnerável e Versões Afetadas BookStack versões anteriores a 26.05.4

Description Um problema de execução remota de código autenticado existe na funcionalidade de importação de ZIP portátil. Usuários que possuem as permissões Import Content e Create Books podem fazer o upload de um arquivo poliglota PHP-imagem — um arquivo que é válido tanto como imagem quanto como script PHP — como capa de um livro. A aplicação falha ao aplicar a validação específica de imagem correta à capa importada, permitindo que um arquivo com a extensão .php seja armazenado em um diretório acessível via web. Um invasor pode então disparar a execução deste arquivo através de uma requisição HTTP não autenticada, executando código com os privilégios do processo do serviço web do BookStack.

O ataque ocorre através do endpoint /import.

Recommendations Atualize o BookStack para a versão 26.05.4 ou posterior. Como mitigação temporária, remova a permissão Import Content ou Create Books de usuários não confiáveis. Restrinja o acesso ao endpoint /import a redes confiáveis. Configure o servidor web para impedir a execução de scripts ou PHP dentro dos diretórios de upload.