CVE-2026-22877: Copeland XWEB e XWEB Pro: travessia de diretório (path traversal)
A CVE-2026-22877 afeta dispositivos Copeland XWEB Pro na versão 1.12.1 e anteriores, conforme o registro, e é descrita como uma falha de leitura arbitrária de arquivos que pode ser explorada sem autenticação. O registro classifica a fraqueza como travessia de diretório (CWE-22) e indica severidade crítica, com pontuação CVSS 9.1 do NVD, enquanto a entrada do CISA ICS-CERT atribui 3.7. O registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma falha de leitura arbitrária de arquivos nos dispositivos Copeland XWEB e XWEB Pro na versão 1.12.1 e anteriores, acessível a atacantes não autenticados. O registro a classifica como travessia de diretório (CWE-22). O aviso da CISA está disponível em ICSA-26-057-10.
Impacto
- Confidencialidade: o vetor do NVD classifica o impacto na confidencialidade como alto.
- Disponibilidade: o vetor do NVD classifica o impacto na disponibilidade como alto, e a descrição menciona um possível efeito de negação de serviço.
- Integridade: o vetor do NVD classifica o impacto na integridade como nulo.
Produtos e versões afetados
- Copeland XWEB 300D PRO, XWEB 500B PRO e XWEB 500D PRO, incluindo as entradas de firmware correspondentes listadas no registro.
- Versões 1.12.1 e anteriores, conforme o registro.
Status de exploração
O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. Os valores SSVC e EPSS do registro são baixos e não indicam exploração automatizável.
Remediação e mitigação
- O registro não lista versão corrigida. Consulte a página do fornecedor Copeland Dixell system software update e aplique qualquer atualização que ele disponibilizar.
- Restrinja o acesso de rede às interfaces de gerenciamento e mantenha-as fora de redes não confiáveis.
- Segmente as redes de tecnologia operacional e de automação predial para que os controladores não fiquem acessíveis a partir da TI corporativa ou da internet.
- Siga as orientações do aviso da CISA.
Orientação para detecção
- Revise os logs de acesso da interface web em busca de requisições que façam referência a arquivos ou caminhos fora do escopo esperado da aplicação.
- Monitore reinicializações inesperadas ou perda de disponibilidade desses dispositivos.
- Gere alertas para acessos de gerenciamento originados de endereços inesperados.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem detalhes de correção.
- O NVD atribui 9.1 à falha, enquanto a entrada CISA ICS-CERT atribui 3.7. O registro não explica a diferença.
- O registro não descreve caminhos de arquivos específicos nem o mecanismo de exploração, e esta análise não os cobre.
- Os valores EPSS são os registrados e podem mudar com o tempo.
Perguntas frequentes
O que é a CVE-2026-22877?
É uma falha de leitura arbitrária de arquivos nos dispositivos Copeland XWEB e XWEB Pro na versão 1.12.1 e anteriores, classificada no registro como travessia de diretório (CWE-22).
Esta vulnerabilidade é explorada ativamente?
O registro não mostra inclusão no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Consulte a página do fornecedor e aplique as atualizações que ele disponibilizar.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.