CVE-2025-58180

OctoPrint istehlakçı 3D printerlərini idarə etmək üçün veb interfeys təmin edir. OctoPrint-in 1.11.2 versiyası daxil olmaqla daha əvvəlki versiyalarında autentifikasiya olunmuş hücumçunun xüsusi hazırlanmış fayl adı ilə fayl yükləməsinə imkan verən zəiflik mövcuddur. Əgər həmin fayl adı sistem hadisə idarəedicisinə (event handler) təyin edilmiş əmrə daxil edilərsə və həmin hadisə tetiklənərsə, bu, ixtiyari əmrlərin icrasına şərait yaradır. Yüklənmiş fayl adlarını parametr kimi istifadə edərək sistem əmrlərini icra edən heç bir hadisə idarəedicisi konfiqurasiya edilməyibsə, bu zəifliyin heç bir təsiri yoxdur. Zəiflik 1.11.3 versiyasında aradan qaldırılıb. Müvəqqəti həll yolu kimi, hər hansı fayl adına əsaslanan yer tutucuları (placeholders) ehtiva edən hadisə idarəediciləri konfiqurasiya etmiş OctoPrint administratorları, onların `enabled` xassiyyətini `False` təyin edərək və ya GUI əsaslı Event Manager-də "Enabled" qutusundakı işarəni götürərək onları deaktiv etməlidirlər. Alternativ olaraq, OctoPrint administratorları `config.yaml` faylında `feature.enforceReallyUniversalFilenames` dəyərini `true` təyin etməli və OctoPrint-i yenidən başlatmalı, sonra isə mövcud yükləmələri yoxlayaraq şübhəli görünən bütün faylları silməlidirlər. Həmişə olduğu kimi, OctoPrint administratorlarına OctoPrint-i ictimai internet kimi düşmən şəbəkələrdə açıq saxlamamaq və instansiya üzərində kimin giriş hüququ olduğunu yoxlamaq tövsiyə olunur.