CVE-2025-58180

Résumé

OctoPrint fournit une interface web pour contrôler les imprimantes 3D grand public. Les versions d'OctoPrint jusqu'à la 1.11.2 inclus contiennent une vulnérabilité qui permet à un attaquant authentifié de téléverser un fichier avec un nom de fichier spécialement conçu, ce qui permet l'exécution arbitraire de commandes si ce nom de fichier est inclus dans une commande définie dans un gestionnaire d'événements système et que cet événement est déclenché. Si aucun gestionnaire d'événements exécutant des commandes système avec des noms de fichiers téléversés comme paramètres n'a été configuré, cette vulnérabilité n'a pas d'impact. La vulnérabilité est corrigée dans la version 1.11.3. En guise de mesure de contournement, les administrateurs d'OctoPrint qui ont configuré des gestionnaires d'événements incluant tout type d'espaces réservés basés sur des noms de fichiers devraient les désactiver en définissant leur propriété `enabled` sur `False` ou en décochant la case « Enabled » dans le gestionnaire d'événements basé sur l'interface graphique. Alternativement, les administrateurs d'OctoPrint devraient définir `feature.enforceReallyUniversalFilenames` sur `true` dans `config.yaml` et redémarrer OctoPrint, puis examiner les téléversements existants et s'assurer de supprimer tout fichier suspect. Comme toujours, il est conseillé aux administrateurs d'OctoPrint de ne pas exposer OctoPrint sur des réseaux hostiles comme l'Internet public, et de vérifier qui a accès à leur instance.

• CVE-2025-58180PoC

  Dans OctoPrint version <=1.11.2, un attaquant ayant un accès de téléchargement de fichier (par exemple, une clé API valide ou une session) peut créer un nom de fichier malveillant qui contourne l'assainissement et est ensuite exécuté par le système d'événements d'OctoPrint, conduisant à une exécution de code à distance (RCE) sur l'hôte