ConvertXはセルフホスト型のオンラインファイルコンバーターです。バージョン0.16.0以前では、エンドポイント「/upload」が認証済みユーザーによる任意のファイル書き込みを許可していたため、バイナリの上書きやコード実行が可能でした。アップロード機能は、ユーザーが提供したデータから「file.name」を直接受け取り、名前のサニタイズを行っていなかったため、任意のファイル書き込みが行えます。この脆弱性により、攻撃者はシステムバイナリを独自のファイルで上書きし、完全なコード実行を行うことができます。バージョン0.16.0で本問題への修正が行われました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。