CVE-2026-25923: my little forum: desserialização Phar levando à exclusão arbitrária de arquivos
O my little forum, fórum da internet baseado em PHP e MySQL, não filtra o protocolo phar:// na validação de URLs, o que pode levar à desserialização Phar e à exclusão arbitrária de arquivos. O registro indica que o problema está corrigido na versão 20260208.1, e a NVD classifica a vulnerabilidade como crítica, com pontuação base CVSS de 9.1. Não há exploração confirmada nas fontes consultadas, embora o SSVC classifique o status de exploração como prova de conceito.
Visão geral
O my little forum é um fórum da internet baseado em PHP e MySQL. O registro descreve uma falha em que o protocolo phar:// não é filtrado na validação de URLs. A falha é classificada como upload irrestrito de arquivo com tipo perigoso (CWE-434) e envolve desserialização Phar.
Impacto
- O registro indica que a falha pode levar à exclusão arbitrária de arquivos.
- Inferência: a exclusão de arquivos arbitrários em um servidor web pode causar indisponibilidade do serviço, perda de dados do fórum e problemas de integridade.
- A NVD atribui pontuação 9.1 (crítica). O vetor enfatiza alto impacto na integridade e na disponibilidade, sem impacto na confidencialidade.
Produtos e versões afetados
- Produto: Mylittleforum My Little Forum.
- Afetados: versões anteriores à 20260208.1.
- Corrigido na: 20260208.1, conforme o registro e a nota de lançamento do fornecedor.
Status de exploração
- O CISA KEV não lista esta CVE, portanto essa fonte não confirma exploração ativa.
- Não há exploração confirmada nas fontes consultadas.
- O SSVC classifica a exploração como prova de conceito e a automação como sim, o que indica que pode haver material público de prova de conceito. O aviso do fornecedor possui referências marcadas como relacionadas a exploração, mas isso não confirma uso real.
Correção e mitigação
- Atualize para a versão 20260208.1 ou posterior, conforme as notas de lançamento do fornecedor.
- Consulte o aviso do fornecedor para as orientações de mitigação que ele oferece.
- Inferência: restrinja o tratamento de uploads a conteúdo de imagem validado e rejeite arquivos que não sejam imagens genuínas, sem depender apenas da extensão.
- Inferência: verifique se o fórum utiliza Smarty e mantenha o componente atualizado no mesmo ciclo de manutenção.
Orientações de detecção
- Revise diretórios de upload em busca de arquivos com nomes de imagem que contenham estruturas inesperadas de execução ou compactação.
- Monitore exclusões inesperadas de arquivos da aplicação ou de usuários.
- Revise os logs do servidor web e da aplicação em busca de requisições com strings phar:// em parâmetros ou conteúdo BBCode.
Limitações das informações disponíveis
- O registro não indica se branches mais antigos são afetados além do limite informado.
- O registro não descreve o conjunto completo de condições necessárias para exploração em configuração padrão.
- O registro não informa se o Smarty é incluído ou exigido pela aplicação.
- O vetor CVSS exato da pontuação do GitHub não é reproduzido aqui; apenas a pontuação é informada.
Perguntas frequentes
O que é a CVE-2026-25923?
É uma falha crítica no my little forum em que o protocolo phar:// não é filtrado na validação de URLs, o que pode levar à desserialização Phar e à exclusão arbitrária de arquivos.
Qual versão corrige o problema?
O registro indica que o problema está corrigido na versão 20260208.1, e que as versões anteriores são afetadas.
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não lista esta CVE, e não há exploração confirmada nas fontes consultadas. O SSVC classifica a exploração como prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.