CVE-2026-25156

HotCRP bir konferans değerlendirme yazılımıdır. Ekim 2025 ile Ocak 2026 arasındaki HotCRP sürümleri, tüm belge türlerini satır içi Content-Disposition ile sundu ve bu belgelerin indirilmek yerine kullanıcının tarayıcısında görüntülenmesine neden oldu. (Amaçlanan davranış, yalnızca `text/plain`, `application/pdf`, `image/gif`, `image/jpeg` ve `image/png` türlerinin satır içi sunulmasıydı; ancak belge URL'sine `save=0` eklenmesi herhangi bir belge için satır içi sunum talep edebiliyordu.) Bu durum, bir belge bağlantısına tıklayan kullanıcıları siteler arası betik çalıştırma saldırılarına karşı savunmasız hale getirdi. Yüklenen bir HTML veya SVG belgesi, görüntüleyenin tarayıcısında onların HotCRP kimlik bilgilerine erişimle çalışacak ve o belgedeki Javascript zamanla HotCRP'nin API'sine rastgele çağrılar yapabilecekti. Kötü amaçlı belgeler, "file upload" veya "attachment" türündeki gönderim alanlarına ya da yorumlara ek olarak yüklenebiliyordu. PDF yükleme alanları savunmasız değildi. hotcrp.com'a yüklenen belgeler üzerinde yapılan bir arama, istismar edildiğine dair kanıt bulamadı. Güvenlik açığı aa20ef288828b04550950cf67c831af8a525f508 commit'inde (11 Ekim 2025) ortaya çıktı, geliştirme sürümlerinde ve v3.2'de mevcuttu ve 8933e86c9f384b356dc4c6e9e2814dee1074b323 commit'inde ve v3.2.1'de düzeltildi. Ayrıca c3d88a7e18d52119c65df31c2cc994edd2beccc5 ve v3.2.1, `save=0` desteğini kaldırır.