CVE-2026-88621

Nome do Software Vulnerável e Versões Afetadas OneNav versão 1.2.4

Description Um administrador autenticado pode disparar a exclusão arbitrária de arquivos ao enviar um nome de arquivo de upload não-HTML que corresponda a um arquivo existente no diretório de trabalho da aplicação. Isso ocorre na função Api::upload() localizada em class/Api.php, onde a aplicação passa o nome do arquivo controlado pelo usuário para a função unlink() ao rejeitar o upload, o que pode levar a uma negação de serviço.

Recommendations Como medida paliativa temporária, restrinja o acesso à função Api::upload() até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.