CVE-2026-2113: Vulnerabilidade de desserialização no componente WebUploader do Tpadmin

Visão geral

Este registro descreve uma vulnerabilidade no componente WebUploader incluído no tpadmin da yuan1994, que afeta versões até 1.3.12. O arquivo afetado é o script de pré-visualização no diretório servidor do WebUploader na versão 0.1.5. A descrição menciona desserialização, enquanto o tipo de fraqueza atribuído é o CWE-434 (upload irrestrito de arquivo de tipo perigoso). As fontes consultadas não conciliam essas duas descrições.

Impacto

A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A CNA (VulDB) fornece pontuações distintas: 7.3 em CVSS 3.1, 5.5 em CVSS 4.0 e 7.5 em CVSS 2.0. O impacto real depende de o arquivo vulnerável estar acessível na implantação.

Produtos e versões afetadas

• Produto: Tpadmin Project Tpadmin
• Versões afetadas: até a versão 1.3.12, inclusive
• Componente afetado: WebUploader, arquivo /public/static/admin/lib/webuploader/0.1.5/server/preview.php

O registro não informa versão corrigida. A descrição indica que apenas produtos sem suporte do mantenedor são afetados, por isso as organizações devem confirmar se sua implantação ainda recebe manutenção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto essa fonte não confirma exploração ativa. O registro informa que um exploit foi divulgado publicamente, e uma referência está marcada como consultoria de terceiros relacionada a exploit. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. A probabilidade EPSS é 0.02443, com percentil 0.83914.

Correção e mitigação

• Identifique todas as instâncias do tpadmin e confirme a versão instalada em relação à faixa afetada.
• Como não há versão corrigida listada e o produto pode estar sem suporte, planeje a migração para um produto mantido ou substituto.
• Enquanto a correção não for possível, restrinja ou remova o acesso público aos arquivos do WebUploader e ao script de pré-visualização, e proteja a área administrativa com controles de rede.
• Avalie se os recursos de upload e pré-visualização são necessários e desative-os onde não forem.

Orientação de detecção

• Revise os logs do servidor web em busca de requisições ao caminho do WebUploader, especialmente de origens inesperadas ou com frequência incomum.
• Monitore a criação ou alteração de arquivos em diretórios acessíveis pela web, como diretórios de upload e bibliotecas.
• Verifique processos inesperados ou conexões de saída originadas pela conta do servidor web.

Limitações das informações disponíveis

As fontes não fornecem versão corrigida, aviso oficial do mantenedor do projeto nem descrição técnica detalhada da falha. A divergência entre a descrição de desserialização e a classificação CWE-434 permanece sem solução. As versões afetadas vêm da faixa informada pela CNA. A data de publicação do registro e a data do EPSS devem ser verificadas nas fontes originais.

Perguntas frequentes

Quais versões do tpadmin são afetadas pelo CVE-2026-2113?

O registro lista como afetadas as versões do Tpadmin Project até 1.3.12, inclusive. Nenhuma versão corrigida aparece nas fontes consultadas.

O CVE-2026-2113 é conhecido por ser explorado ativamente?

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.

O que os administradores devem fazer agora?

Confirme se a versão instalada é afetada, restrinja o acesso público aos arquivos do WebUploader e planeje a migração para um produto com suporte, já que o registro indica que o produto afetado não é mais mantido.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.