Vulnerabilidad · Publicado 20/10/2026
uTox versión 0.18.1 y anteriores contiene una vulnerabilidad de traversal de directorios que permite a contactos Tox autorizados escribir archivos arbitrarios en sistemas víctimas, incluyendo archivos de inicio de shell y registros de transferencia manipulados. Los atacantes pueden explotar punteros FILE para acceder a /proc/self/mem y ejecutar código con privilegios del usuario afectado. Esta vulnerabilidad afecta principalmente a usuarios en LATAM que utilizan uTox para comunicación descentralizada sin supervisión de transferencias de archivos.
uTox through 0.18.1 contains a path traversal vulnerability that allows Tox friends to write arbitrary files by sending absolute or ../ file names to victims with auto-accept enabled. Attackers can overwrite shell startup files or plant crafted .ftinfo resume records that ft_find_resumeable() loads, abusing FILE pointers to write /proc/self/mem and execute code.
Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-22
Publicado en NIST NVD.