CVE-2025-61506: Vulnerabilidade de Upload Irrestrito de Arquivos no MediaCrush
A CVE-2025-61506 afeta o MediaCrush até a versão 1.0.1 e permite que atacantes remotos, sem autenticação, enviem arquivos arbitrários de qualquer tamanho pelo endpoint /upload. O registro associa a falha ao CWE-434 e atribui pontuação CVSS 3.1 de 9,8 (Crítica). Não há inclusão no catálogo KEV, valor EPSS nem versão corrigida no registro analisado.
Visão geral
A CVE-2025-61506 é uma fraqueza de upload irrestrito de arquivos (CWE-434) no MediaCrush até a versão 1.0.1. Segundo o registro, o endpoint /upload aceita arquivos arbitrários sem autenticação e sem limite de tamanho.
Impacto
- Usuários remotos não autenticados podem conseguir gravar arquivos arbitrários no serviço afetado.
- O vetor CVSS 3.1 do registro indica alto impacto na confidencialidade, integridade e disponibilidade.
- As consequências reais dependem de como os arquivos enviados são armazenados e servidos, o que o registro não descreve.
Produtos e versões afetadas
- Produto: MediaCrush (listado no registro como Mediacrush Mediacrush).
- Versões: até a versão 1.0.1 inclusive, segundo o registro.
- Nenhuma versão corrigida está listada no registro.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA e não possui pontuação EPSS. Há uma referência de terceiros marcada como relacionada a exploração incluída no registro, mas seu conteúdo não foi reproduzido aqui. Não há exploração confirmada no ambiente real nas fontes consultadas.
Remediação e mitigação
- Identifique todas as implantações do MediaCrush na versão 1.0.1 ou anteriores e trate-as como prioridade alta, dada a pontuação crítica.
- Restrinja o acesso ao endpoint de upload, por exemplo por autenticação ou controles de rede, até que o mantenedor confirme uma versão atualizada.
- Aplique restrições de tipo, tamanho e local de armazenamento de arquivos nas camadas da aplicação e do servidor web.
- Acompanhe o projeto e os canais do mantenedor em busca de uma versão corrigida, já que nenhuma consta nas fontes.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições inesperadas ao endpoint de upload, especialmente de origens desconhecidas.
- Monitore os diretórios de armazenamento de uploads em busca de arquivos incomuns, principalmente tipos executáveis ou de script.
- Gere alertas para volumes de upload anormalmente grandes ou frequentes.
Limitações das informações disponíveis
O registro não fornece versão corrigida, aviso do fabricante, detalhes de correção, detalhes técnicos da falha além da descrição, nem valor EPSS. O CNA é listado como cve@mitre.org. Não é possível afirmar se o software ainda recebe manutenção.
Perguntas frequentes
Quais versões do MediaCrush são afetadas pela CVE-2025-61506?
Segundo o registro, são afetadas as versões até a 1.0.1 inclusive. O registro não informa versão corrigida.
A CVE-2025-61506 é explorada no ambiente real?
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas, embora conste uma referência de terceiros marcada como relacionada a exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.