CVE-2026-22034: Snuffleupagus com execução remota de código via validação de upload sem o VLD
O Snuffleupagus, um módulo de segurança para PHP, pode avaliar como código PHP todos os arquivos de requisições POST multipart quando a validação de upload está habilitada com um script de validação baseado em VLD e a extensão VLD não está disponível para o SAPI CLI. O problema afeta versões anteriores à 0.13.0 e foi corrigido na versão 0.13.0. O registro informa CVSS 3.1 de 9.8 pela NVD, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Snuffleupagus é um módulo de segurança para PHP que adiciona correção virtual e endurecimento contra classes comuns de bugs. De acordo com o registro, a falha aparece apenas quando a validação de upload, um recurso que não é o padrão, está habilitada e configurada para usar um script upstream baseado no Vulcan Logic Disassembler (VLD), enquanto a extensão VLD não está disponível para o SAPI CLI. Nessas condições, arquivos de requisições POST multipart são avaliados como código PHP.
Impacto
O registro da NVD informa pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acessibilidade pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Como a descrição afirma que os arquivos enviados são avaliados como código PHP, a consequência prática é a execução remota de código no servidor web (inferência a partir da descrição). O registro classifica a fraqueza como CWE-636, mas não fornece o nome da CWE.
Produtos e versões afetados
- Produto: Jvoisin Snuffleupagus
- Faixa afetada: anteriores à 0.13.0, e somente na configuração descrita acima (validação de upload não padrão com script baseado em VLD e ausência da extensão VLD no SAPI CLI)
- Versão corrigida: 0.13.0
O registro não lista outras ramificações ou versões intermediárias afetadas, portanto o status delas é desconhecido.
Status de exploração
A entrada do catálogo KEV da CISA no registro está marcada como não listada, por isso esta análise não afirma que a vulnerabilidade é explorada no ambiente real. Nenhuma exploração confirmada aparece nas fontes consultadas. O aviso do fornecedor traz a marcação 'Exploit' nos metadados de referência, mas o registro não explica a que ela se refere, então seu significado é desconhecido. Os dados SSVC do registro indicam nível de exploração de prova de conceito e característica automatizável, um sinal para planejamento e não um ataque confirmado. O valor EPSS no registro é 0,00714 (percentil 0,53156).
Correção e mitigação
- Atualize o Snuffleupagus para a versão 0.13.0 ou posterior, conforme indicam o aviso do fornecedor e o commit.
- Enquanto a atualização não for possível, verifique se a validação de upload está habilitada e se usa um script upstream baseado em VLD. Desabilitar o recurso ou restaurar a extensão VLD no SAPI CLI reduz a exposição, mas o registro não confirma nenhuma das opções como solução oficial provisória, o que constitui uma inferência.
- Audite os servidores web em busca de arquivos adicionados ou modificados recentemente em diretórios de upload e em caminhos acessíveis pelo PHP.
Orientações de detecção
- Revise os logs do servidor web e do PHP em busca de requisições POST multipart que coincidam com a criação inesperada de arquivos ou atividade incomum de processos PHP.
- Verifique o monitoramento de integridade de arquivos nas raízes web e nos diretórios de upload em busca de arquivos PHP inesperados.
- Confirme a versão instalada do Snuffleupagus e a presença da configuração de validação de upload em todos os ambientes PHP, inclusive nas ferramentas executadas pelo CLI.
Limitações das informações disponíveis
O registro não inclui informações técnicas detalhadas de reprodução, que esta análise omite deliberadamente. Ele não declara condições além das descritas, não fornece o nome da CWE e não confirma a existência de uma solução alternativa do fornecedor além da correção. A data do EPSS no registro (2026-10-23) é posterior à data de publicação e deve ser verificada na fonte antes de ser usada para priorização.
Perguntas frequentes
Quais versões do Snuffleupagus são afetadas pelo CVE-2026-22034?
De acordo com o registro, as versões anteriores à 0.13.0 são afetadas, mas somente quando a validação de upload está habilitada com um script upstream baseado em VLD e a extensão VLD não está disponível para o SAPI CLI.
Qual é a correção para esta vulnerabilidade?
O problema foi corrigido na versão 0.13.0, e o registro aponta para um commit e um aviso de segurança no GitHub que descrevem a correção.
Há registro de exploração ativa desta vulnerabilidade?
O registro indica que o CVE não está listado no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.