CVE-2026-1812: Path traversal no bolo-solo em importFromCnblogs

Visão geral

A CVE-2026-1812 afeta o bolo-solo até a versão 2.6.4, inclusive. Segundo o registro, a fragilidade está na função importFromCnblogs do serviço de backup e é classificada como path traversal (CWE-22). O problema foi levantado inicialmente pelo rastreador de issues do projeto no GitHub.

Impacto

O NVD atribui pontuação base 9.8 (Crítica) no CVSS 3.1, com valores altos de impacto para confidencialidade, integridade e disponibilidade.
O vetor do NVD indica que não são necessários privilégios nem interação do usuário.
Path traversal geralmente permite acessar locais fora do diretório previsto. O efeito exato em cada instalação não é descrito no registro e depende da forma como a aplicação é executada (inferência).

Produtos e versões afetadas

Produto listado no registro: Adlered Bolo-solo, versões menores ou iguais a 2.6.4.
O registro nomeia o fornecedor de forma diferente do dono do repositório no GitHub (bolo-blog). Administradores devem confirmar com o projeto quais builds são afetados.
Nenhuma versão corrigida aparece nas fontes consultadas.

Status de exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado.
A vulnerabilidade não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte.
O registro não traz pontuação EPSS. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.

Correção e mitigação

Não há correção oficial registrada, e o projeto não havia respondido ao relatório na data do registro. Acompanhe o repositório do projeto e a issue no GitHub para atualizações.
Enquanto não houver correção oficial, restrinja o acesso de rede à aplicação e às funções administrativas apenas a usuários confiáveis.
Limite ou desative os recursos de backup e importação que aceitam caminhos de arquivo vindos de fontes não confiáveis.
Execute a aplicação com as permissões mínimas de sistema de arquivos necessárias, de modo que não consiga ler arquivos sensíveis fora do diretório de dados.
Mantenha cópias de segurança atualizadas de conteúdo e configuração, para permitir restauração caso ocorra comprometimento.

Orientação para detecção

Revise os logs da aplicação e do servidor web em busca de requisições a funções de backup ou importação com valores de caminho incomuns.
Monitore o processo da aplicação quanto a acessos a arquivos fora dos diretórios de dados esperados.
Gere alertas para alterações inesperadas em arquivos de configuração ou conteúdo após operações de importação.

Limitações das informações disponíveis

Não há versão corrigida, patch do fornecedor ou declaração oficial registrada.
Dados EPSS e SSVC não estão disponíveis no registro.
Outras pontuações de CNA presentes no registro diferem da pontuação do NVD e usam versões de CVSS diferentes; a pontuação do NVD é a reportada aqui.
O registro não descreve o alcance técnico do acesso a arquivos, por isso a exposição completa de dados não pode ser determinada.
O registro não confirma o mapeamento de nomes do fornecedor entre a entrada de produto afetado e o repositório no GitHub.

Perguntas frequentes

O que é a CVE-2026-1812?

É uma fragilidade de path traversal (CWE-22) na função importFromCnblogs do bolo-solo, que afeta versões até a 2.6.4 inclusive, segundo o registro.

Existe correção disponível?

Nenhuma versão corrigida aparece nas fontes consultadas, e o projeto não havia respondido ao relatório quando o registro foi preparado. Verifique o repositório do projeto para atualizações.

Esta vulnerabilidade está sendo explorada ativamente?

Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. O registro afirma que um exploit foi divulgado publicamente.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.