Plataforma
python
Componente
pipeshub-ai/pipeshub-ai
Corregido en
0.1.1
CVE-2025-67506 es una vulnerabilidad de Path Traversal descubierta en PipesHub, una plataforma de IA para el trabajo. Esta falla permite a un atacante escribir archivos arbitrarios en el sistema, comprometiendo la integridad y confidencialidad de los datos. La vulnerabilidad afecta a versiones anteriores a 0.1.0-beta y ha sido resuelta en la versión 0.1.0-beta.
La vulnerabilidad de Path Traversal en PipesHub permite a un atacante, mediante la manipulación del nombre de archivo en una solicitud POST a /api/v1/record/buffer/convert, escribir archivos en ubicaciones arbitrarias del sistema de archivos. Esto se debe a la falta de validación y normalización del nombre de archivo antes de ser utilizado en la función os.path.join. Un atacante podría sobrescribir archivos de configuración críticos, inyectar código malicioso o incluso obtener acceso al sistema subyacente. El impacto potencial es significativo, incluyendo la pérdida de datos, la interrupción del servicio y la posible toma de control del sistema.
Esta vulnerabilidad ha sido publicada el 2025-12-10. No se ha añadido a KEV, pero la puntuación CVSS de 9.8 (CRITICAL) indica una alta probabilidad de explotación. No se han reportado campañas activas conocidas, pero la facilidad de explotación y la falta de autenticación en el endpoint la convierten en un objetivo atractivo. Se recomienda monitorear los sistemas PipesHub para detectar posibles intentos de explotación.
Organizations utilizing PipesHub for enterprise search and workflow automation are at risk, particularly those running versions prior to 0.1.0-beta. Environments where PipesHub is deployed with elevated privileges or integrated with other critical systems are at higher risk. Shared hosting environments where multiple users share the same PipesHub instance are also vulnerable.
• python / server: Monitor system logs for unusual file creation or modification events, particularly in temporary directories. Use find /tmp -type f -mmin -60 to identify recently modified files.
find /tmp -type f -mmin -60 -print0 | xargs -0 ls -l• generic web: Monitor access logs for requests to /api/v1/record/buffer/convert with filenames containing ../ sequences.
grep 'filename=.*\/\/' /var/log/apache2/access.logdisclosure
patch
Estado del Exploit
EPSS
0.22% (44% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-67506 es actualizar PipesHub a la versión 0.1.0-beta o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar controles de acceso estrictos al directorio temporal utilizado para la conversión de archivos, restringiendo el acceso solo a las cuentas necesarias. Además, se puede considerar la implementación de un Web Application Firewall (WAF) para filtrar solicitudes maliciosas que contengan secuencias ../. Verifique la actualización confirmando que el endpoint /api/v1/record/buffer/convert ahora valida correctamente los nombres de archivo.
Actualice PipesHub a la versión 0.1.0-beta o posterior. Esta versión corrige la vulnerabilidad de path traversal al validar correctamente los nombres de archivo antes de guardarlos. Alternativamente, implemente una validación robusta de los nombres de archivo en su propia implementación para evitar la escritura de archivos arbitrarios.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-67506 is a critical Path Traversal vulnerability in PipesHub versions before 0.1.0-beta. It allows attackers to overwrite files by manipulating filenames, potentially leading to remote code execution.
You are affected if you are using PipesHub versions prior to 0.1.0-beta. Immediately assess your environment to determine if you are vulnerable.
Upgrade PipesHub to version 0.1.0-beta or later. If immediate upgrade is not possible, implement WAF rules and filename validation as temporary mitigations.
While no public exploits are currently known, the vulnerability's criticality suggests a high probability of exploitation. Monitor threat intelligence feeds for updates.
Refer to the PipesHub official security advisory for detailed information and updates regarding CVE-2025-67506.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo requirements.txt y te decimos al instante si estás afectado.