CVE-2025-69981: FUXA: upload irrestrito de arquivos em API sem autenticação

Visão geral

A CVE-2025-69981 descreve uma fraqueza de upload irrestrito de arquivos no endpoint /api/upload do FUXA versão 1.2.7, produto listado como Frangoteam Fuxa. A descrição da CNA afirma que o endpoint não possui autenticação, o que indica que a falha pode ser alcançada sem credenciais. A referência ao código afetado está no arquivo de origem no GitHub.

Impacto

Segundo o registro, um atacante remoto não autenticado poderia enviar arquivos arbitrários. A descrição indica que isso poderia ser usado para sobrescrever arquivos críticos, como o banco de dados SQLite de usuários, para obter acesso administrativo, ou para enviar scripts que executem código arbitrário.

A NVD atribui pontuação base CVSS 3.1 de 9.8, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que reflete alto impacto em confidencialidade, integridade e disponibilidade. O registro também contém uma segunda pontuação CVSS 3.1, de 7.5, atribuída por um provedor não identificado.

Produtos e versões afetadas

Produto listado: Frangoteam Fuxa, versão 1.2.7.
O registro não lista outras versões afetadas nem versões corrigidas.
Não é possível confirmar, a partir das fontes consultadas, se outras versões são afetadas.

Status de exploração

O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. O registro não contém dados de EPSS.

Correção e mitigação

Nenhuma versão corrigida consta no registro. A ausência de correção nesses dados não significa que ela não exista, por isso verifique o repositório oficial do projeto FUXA e os canais do fabricante.
Até que uma correção seja validada, limite a exposição de rede das instâncias do FUXA, especialmente o acesso à função de upload, e evite expô-las a redes não confiáveis.
Como medida provisória, posicione uma camada de autenticação na frente da funcionalidade de upload, por meio de controles de rede ou de proxy reverso, e confirme como a aplicação aplica controle de acesso.
Restrinja as permissões da conta que executa o FUXA, mantenha o conteúdo enviado separado de caminhos executáveis e mantenha os arquivos de banco de dados fora de diretórios que aceitam uploads.
Se uma instância exposta esteve acessível a partes não confiáveis, revise as contas de usuário e as alterações recentes de arquivos como parte da resposta a incidentes.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições a /api/upload de origens inesperadas ou sem sessão válida.
Monitore arquivos criados ou modificados nos diretórios do FUXA, além de alterações inesperadas no banco SQLite ou nos registros de usuários.
Gere alertas para a criação de arquivos de script em locais que a aplicação serve ou executa.

São indicadores de alto nível; valide-os em ambiente de teste antes de depender deles.

Limitações das informações disponíveis

O registro fornece uma referência de código no GitHub e as páginas da NVD e do CVE.org. Não inclui aviso do fabricante, nota de correção nem detalhes de validação técnica.
Versões corrigidas, evidências de exploração além do status no KEV e a origem da pontuação 7.5 são desconhecidas.
Caminhos exatos de arquivos, localização do banco de dados e detalhes do tratamento de uploads não são confirmados pelo registro.

Perguntas frequentes

A CVE-2025-69981 é explorada ativamente?

O registro indica que ela não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Qual versão é afetada?

O registro lista o Frangoteam Fuxa na versão 1.2.7. Outras versões não são confirmadas pelos dados disponíveis.

Existe versão corrigida?

Nenhuma versão corrigida consta no registro. Verifique o repositório oficial do FUXA e restrinja o acesso ao endpoint de upload enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.