CVE-2025-58180

Resumo

OctoPrint fornece uma interface web para controlar impressoras 3D de consumo. As versões do OctoPrint até a 1.11.2 (inclusive) contêm uma vulnerabilidade que permite que um atacante autenticado carregue um arquivo com um nome de arquivo especialmente elaborado, o que permitirá a execução arbitrária de comandos se esse nome de arquivo for incluído em um comando definido em um manipulador de eventos do sistema e esse evento for acionado. Se nenhum manipulador de eventos que execute comandos do sistema com nomes de arquivo carregados como parâmetros tiver sido configurado, essa vulnerabilidade não terá impacto. A vulnerabilidade é corrigida na versão 1.11.3. Como solução alternativa, os administradores do OctoPrint que tenham manipuladores de eventos configurados que incluam qualquer tipo de espaço reservado baseado em nome de arquivo devem desativá-los definindo a propriedade `enabled` como `False` ou desmarcando a caixa de seleção "Enabled" no Event Manager baseado em GUI. Alternativamente, os administradores do OctoPrint devem definir `feature.enforceReallyUniversalFilenames` como `true` em `config.yaml` e reiniciar o OctoPrint; em seguida, revisar os uploads existentes e certificar-se de excluir quaisquer arquivos de aparência suspeita. Como sempre, recomenda-se que os administradores do OctoPrint não exponham o OctoPrint em redes hostis, como a internet pública, e verifiquem quem tem acesso à sua instância.

• CVE-2025-58180PoC

  No OctoPrint versão <=1.11.2, um atacante com acesso de upload de arquivos (por exemplo, chave de API válida ou sessão) pode criar um nome de arquivo malicioso que contorna a sanitização e é posteriormente executado pelo sistema de eventos do OctoPrint, levando à execução remota de código (RCE) no host