CVE-2026-24729: Upload irrestrito de arquivo perigoso no Interinfo DreamMaker
A CVE-2026-24729 afeta a função de upload de arquivos do Interinfo DreamMaker em versões anteriores a 2025/10/22, segundo o CNA ART@zuso.ai. A falha é classificada como CWE-434 e recebe pontuação base CVSS 4.0 de 10 do CNA, o que a torna crítica. O registro não informa intervalos de versões afetadas ou corrigidas, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-24729 é uma falha de upload irrestrito de arquivo com tipo perigoso (CWE-434) na função de upload de arquivos do Interinfo DreamMaker. O registro foi publicado em 2026-01-30 pelo CNA ART@zuso.ai, que disponibilizou um aviso em zuso.ai advisory ZA-2026-02.
Impacto
- Segundo o registro, atacantes remotos podem executar comandos arbitrários no sistema ao enviar um arquivo de classe malicioso.
- O CNA atribui pontuação base CVSS 4.0 de 10, com alto impacto em confidencialidade, integridade e disponibilidade, sem necessidade de privilégios nem de interação do usuário.
- Inferência: uma falha acessível pela rede desse tipo, se presente em uma instância exposta, representaria risco severo para a confidencialidade, a integridade e a disponibilidade do host.
Produtos e versões afetadas
- Produto: Interinfo DreamMaker.
- Intervalo afetado conforme descrito: versões anteriores a 2025/10/22.
- O registro não traz lista estruturada de versões afetadas ou corrigidas, portanto as compilações exatamente impactadas são desconhecidas.
- Inferência: versões datadas de 2025/10/22 em diante parecem estar fora do intervalo informado, mas isso deve ser confirmado com o fornecedor ou com o aviso do CNA.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
- Não há exploração ativa confirmada nas fontes consultadas.
- Não há dados de EPSS ou SSVC no registro.
Correção e mitigação
- Inventarie todas as instalações do DreamMaker, registrando versões e datas de compilação.
- Consulte o aviso do CNA e comunicações do fornecedor para identificar uma versão corrigida, e aplique-a assim que for validada.
- Restrinja a função de upload a usuários autenticados e confiáveis, e limite sua exposição de rede.
- Valide os tipos de arquivo enviados com uma lista restritiva de permissões, armazene os envios fora de diretórios executáveis pelo servidor web e remova direitos de execução do local de armazenamento.
- Revise o conteúdo já enviado em busca de artefatos inesperados de classe ou executáveis.
Orientação para detecção
- Monitore diretórios de upload em busca de novos arquivos de tipos inesperados, especialmente artefatos executáveis ou de classe.
- Gere alertas para processos da aplicação web que iniciem processos filhos inesperados.
- Revise os logs de acesso do servidor web em busca de requisições de upload de origens desconhecidas ou com volume incomum.
Limitações das informações disponíveis
- O registro não possui dados estruturados de versões afetadas ou corrigidas, portanto o escopo das compilações vulneráveis é desconhecido além do limite de data informado.
- O registro não traz aviso do fornecedor, entrada no KEV, pontuação EPSS nem decisão SSVC.
- Não há detalhes técnicos sobre o tratamento de upload de arquivos, então as pré-condições exatas são desconhecidas.
Perguntas frequentes
O que é a CVE-2026-24729?
É uma falha de upload irrestrito de arquivo (CWE-434) na função de upload do Interinfo DreamMaker em versões anteriores a 2025/10/22, informada pelo CNA ART@zuso.ai.
Há exploração conhecida dessa vulnerabilidade?
O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Quais versões possuem correção?
O registro não informa versões corrigidas. Consulte o aviso do CNA e o fornecedor para obter releases corrigidas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.