CVE-2026-0643: projectworlds House Rental and Property Listing: upload irrestrito de arquivos em register.php

Visão geral

O registro descreve uma falha no componente Signup do projectworlds House Rental and Property Listing 1.0. O problema está no arquivo /app/register.php, acessado pela requisição action=reg, onde a manipulação do argumento image permite upload irrestrito, classificado como CWE-434. As informações vêm de uma entrada da VulDB e do NVD.

Impacto

Uma parte remota e não autenticada pode conseguir enviar arquivos que a aplicação não restringe adequadamente, conforme os atributos de acesso remoto e sem privilégios indicados no registro.
O NVD atribui pontuação base 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. Outras pontuações do registro, da VulDB e do CNA, variam de 5.5 a 7.5 conforme a versão do CVSS utilizada.
Os dados SSVC do registro classificam o impacto técnico como parcial, uma avaliação mais restrita do que a pontuação base do NVD sugere isoladamente.

Produtos e versões afetados

Projectworlds House Rental and Property Listing, versão 1.0.
Projectworlds House Rental And Property Listing Project, versão 1.0.
O registro não lista outras versões. Não é possível saber se versões posteriores ou anteriores são afetadas.

Status de exploração

O registro afirma que um exploit foi publicado e pode ser utilizado, e a issue no GitHub citada nas referências está marcada como exploit. O SSVC classifica a exploração como prova de conceito. A CISA KEV não lista esta CVE, portanto não há exploração ativa confirmada nas fontes consultadas.

Correção e mitigação

Nenhuma versão corrigida é informada. A ausência de correção neste registro não significa que ela não exista; verifique atualizações junto ao fornecedor ou projeto.
Se não houver atualização, restrinja o acesso à funcionalidade de cadastro, por exemplo limitando-a a redes confiáveis ou desativando temporariamente o cadastro público.
Aplique validação do tipo e do conteúdo dos arquivos no servidor, use lista de extensões permitidas, renomeie os arquivos enviados e armazene uploads fora da raiz web, com execução desabilitada.
Revise os diretórios de upload existentes em busca de arquivos inesperados e remova os que não puderem ser justificados.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições ao endpoint de cadastro com uploads multipart, especialmente de origens inesperadas.
Monitore os diretórios de upload quanto a novos arquivos com extensões executáveis ou inesperadas, e gere alertas se esses arquivos forem servidos ou executados.
Acompanhe alterações na configuração de upload da aplicação e nas permissões do sistema de arquivos.

Limitações das informações disponíveis

O registro não descreve a lógica exata de validação nem as condições precisas para a exploração.
Nenhuma versão corrigida, aviso do fornecedor ou patch consta nas fontes consultadas.
As pontuações diferem entre fornecedores e versões do CVSS, então a severidade deve ser interpretada no contexto.
A entrada EPSS traz uma data posterior à data de publicação, o que não foi verificado de forma independente.
As informações não foram reproduzidas de forma independente.

Perguntas frequentes

O que é a CVE-2026-0643?

É uma falha crítica de upload irrestrito de arquivos no componente Signup do projectworlds House Rental and Property Listing 1.0, localizada em register.php.

Esta vulnerabilidade está sendo explorada ativamente?

A CISA KEV não lista esta CVE, portanto não há exploração ativa confirmada nas fontes consultadas. O registro afirma que um exploit foi publicado.

Existe versão corrigida?

Nenhuma versão corrigida é informada. Verifique atualizações junto ao fornecedor ou projeto e aplique mitigações enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.