CVE-2026-2183: Upload irrestrito de arquivos no Greatdevelopers Certificate Generation System

Visão geral

Os registros do NVD e do CNA descrevem um problema de upload irrestrito de arquivos (CWE-434) no Great Developers Certificate Generation System, em parte não especificada de /restructured/csv.php. A entrada foi submetida pela VulDB como CNA, e o NVD atribui pontuação base CVSS 3.1 de 9.8.

Impacto

Segundo o vetor CVSS 3.1 do registro, os impactos de confidencialidade, integridade e disponibilidade são classificados como altos, com vetor de rede e sem necessidade de privilégios ou interação do usuário.
Em termos gerais, um upload irrestrito pode permitir que arquivos que a aplicação não pretendia aceitar sejam armazenados. O registro não descreve as consequências concretas para este produto.

Produtos e versões afetados

O registro lista Greatdevelopers Certificate com versões até ≤ 2017-10-16.
A descrição indica que o produto é afetado até uma revisão específica do repositório.
O produto segue modelo de lançamento contínuo (rolling release), e não há detalhes de versão para releases atualizadas.

Status de exploração

O sinalizador do catálogo KEV no registro é falso. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O registro inclui uma referência de terceiros marcada como relacionada a exploit. Esta análise não verificou o conteúdo dela, e sua presença, por si só, não confirma exploração no mundo real.

Correção e mitigação

Nenhuma versão corrigida é listada no registro. Isso não significa que não exista correção, mas o repositório do projeto é descrito como inativo há muitos anos, então uma correção oficial é incerta.
Considere remover ou isolar o componente afetado caso ele não seja necessário.
Restrinja a funcionalidade de upload a usuários autenticados e confiáveis e valide tipo e conteúdo dos arquivos no servidor.
Armazene os arquivos enviados fora da raiz web e sem permissão de execução.

Orientações de detecção

Revise os logs do servidor web em busca de requisições inesperadas ao caminho afetado e de uploads incomuns.
Monitore a criação de novos arquivos com extensões executáveis ou de script em diretórios de upload.

Limitações das informações disponíveis

O componente afetado dentro de csv.php é descrito como desconhecido.
Não há versão corrigida, patch do fornecedor nem faixa de versões precisa além da entrada baseada em data.
As pontuações CVSS 4.0 e 2.0 fornecidas pelo CNA diferem da pontuação CVSS 3.1 do NVD, e o registro não indica qual referência é a adequada.
Não se sabe se o projeto ainda está implantado em algum lugar.

Perguntas frequentes

O CVE-2026-2183 está sendo explorado ativamente?

O sinalizador KEV no registro é falso, e nenhuma exploração confirmada aparece nas fontes consultadas. Isso deve ser tratado como não confirmado, e não como descartado.

Existe uma correção oficial para este problema?

O registro não lista nenhuma versão corrigida. A ausência de um item não prova que não exista correção, mas o projeto é descrito como inativo, então é preciso verificar com os mantenedores e considerar controles compensatórios, como restringir uploads e validar arquivos no servidor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.