CVE-2026-25057: MarkUs: Zip Slip (path traversal) no upload de configuração
O MarkUs, aplicação web para envio e correção de trabalhos de estudantes, é afetado por uma falha Zip Slip de path traversal no upload de configuração de atividades. Segundo o registro, instrutores podem enviar um arquivo zip cujos nomes de entrada são usados para montar caminhos de gravação em disco sem validação. A correção está na 2.9.1, e o título associa o problema a execução remota de código; a pontuação CVSS registrada é 9.1 (crítica).
Visão geral
O MarkUs é uma aplicação web para envio e correção de trabalhos de estudantes. O registro descreve uma falha Zip Slip (CWE-23, path traversal relativo) no recurso de upload de configuração de atividades. Os nomes das entradas de um arquivo zip enviado são usados para montar caminhos de gravação em disco sem verificação.
Impacto
- O vetor CVSS do registro indica alto impacto em confidencialidade, integridade e disponibilidade, com escopo alterado. A pontuação base é 9.1.
- O título do registro associa a falha a execução remota de código. A descrição em si não declara esse impacto de forma explícita.
- A gravação de arquivos fora do diretório pretendido é a consequência direta do comportamento descrito (inferência).
Produtos e versões afetados
- Produto: Markusproject Markus.
- Versões afetadas: antes da 2.9.1.
- Versão corrigida: 2.9.1, segundo o registro e a referência de release.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA. Os dados SSVC do registro indicam exploração como none e automatizável como no, e a probabilidade EPSS é 0.00533. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o MarkUs para a 2.9.1 ou para uma versão posterior que inclua a correção.
- Revise o commit de correção e as notas de release listados nas referências.
- Enquanto a atualização não for feita, restrinja o upload de configuração a instrutores de confiança e reduza o número de contas que podem usar esse recurso (inferência, não declarada pelas fontes).
- Restrinja as permissões de sistema de arquivos da conta da aplicação para que ela grave apenas nos diretórios necessários.
Orientações de detecção
- Analise os logs de upload de configuração, especialmente arquivos com nomes de entrada incomuns ou sequências de path traversal.
- Procure arquivos criados ou alterados fora dos diretórios de dados da aplicação após atividades de upload.
- Monitore alterações inesperadas no código da aplicação ou em caminhos acessíveis pela web.
Limitações das informações disponíveis
O registro não inclui detalhes técnicos do caminho de exploração, prova de conceito ou descrição do cenário de execução remota de código. A faixa afetada é dada apenas como antes da 2.9.1, sem limite inferior. A data EPSS do registro (2026-10-23) é posterior à data de publicação, por isso deve ser interpretada com cautela.
Perguntas frequentes
Qual é a falha no MarkUs?
Segundo o registro, o MarkUs usa nomes de entrada de um arquivo zip enviado para montar caminhos de gravação sem validá-los, caracterizando um path traversal do tipo Zip Slip (CWE-23). A falha está no recurso de upload de configuração de atividades.
Qual versão corrige o problema?
O registro indica que a falha está corrigida na 2.9.1, e a faixa afetada é listada como antes da 2.9.1. A atualização para a 2.9.1 ou posterior é o passo recomendado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.