CVE-2025-58180

Resumen

OctoPrint proporciona una interfaz web para controlar impresoras 3D de consumo. Las versiones de OctoPrint hasta la 1.11.2 inclusive contienen una vulnerabilidad que permite a un atacante autenticado subir un archivo con un nombre especialmente manipulado que permitirá la ejecución arbitraria de comandos si dicho nombre se incluye en un comando definido en un manejador de eventos del sistema y dicho evento se activa. Si no se han configurado manejadores de eventos que ejecuten comandos del sistema con los nombres de archivo subidos como parámetros, esta vulnerabilidad no tiene impacto. La vulnerabilidad está corregida en la versión 1.11.3. Como mitigación, los administradores de OctoPrint que tengan manejadores de eventos configurados que incluyan cualquier tipo de marcadores de posición basados en nombres de archivo deberían deshabilitarlos estableciendo su propiedad `enabled` en `False` o desmarcando la casilla "Enabled" en el Administrador de Eventos basado en GUI. Alternativamente, los administradores de OctoPrint deben establecer `feature.enforceReallyUniversalFilenames` en `true` en `config.yaml` y reiniciar OctoPrint, luego revisar las subidas existentes y asegurarse de eliminar cualquier archivo de aspecto sospechoso. Como siempre, se recomienda a los administradores de OctoPrint no exponer OctoPrint en redes hostiles como Internet público y revisar quién tiene acceso a su instancia.

• CVE-2025-58180PoC

  En OctoPrint versión <=1.11.2, un atacante con acceso de carga de archivos (por ejemplo, una clave de API válida o una sesión) puede crear un nombre de archivo malicioso que evade la sanitización y que posteriormente es ejecutado por el sistema de eventos de OctoPrint, lo que conduce a la ejecución remota de código (RCE) en el host.