CVE-2026-25069: Path traversal na API de logs do SunFounder Pironman Dashboard
O SunFounder Pironman Dashboard (pm_dashboard) na versão 1.3.13 e anteriores contém uma falha de path traversal nos endpoints da API de arquivos de log, que permite a atacantes remotos não autenticados ler e excluir arquivos arbitrários. A VulnCheck atribui pontuação 9.3 pelo CVSS 4.0. O registro não indica inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O SunFounder Pironman Dashboard (pm_dashboard) é apontado como contendo uma fraqueza de path traversal (CWE-22) nos endpoints da API de arquivos de log. Segundo o registro, o parâmetro filename não é restringido o suficiente para manter as requisições dentro do diretório pretendido.
Impacto
- Confidencialidade: o registro afirma que arquivos arbitrários podem ser lidos, o que pode expor informações sensíveis.
- Integridade e disponibilidade: o registro afirma que arquivos arbitrários podem ser excluídos, o que pode causar perda de dados, comprometimento do sistema ou negação de serviço.
- O vetor CVSS 4.0 do registro atribui alto impacto à confidencialidade, integridade e disponibilidade, sem exigir autenticação ou interação do usuário.
Produtos e versões afetadas
- O registro descreve a versão 1.3.13 e as anteriores como afetadas.
- O registro não contém dados estruturados de versões afetadas ou corrigidas, por isso os intervalos exatos devem ser confirmados no repositório do fornecedor e no aviso da VulnCheck.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Faça o inventário de todas as instalações do pm_dashboard e confirme a versão em execução.
- Não exponha o painel a redes não confiáveis ou à internet.
- Verifique no repositório do fornecedor se há uma versão corrigida e aplique-a. O registro não informa qual é.
- Até que a correção seja aplicada, restrinja o acesso ao painel por controles de rede ou por um proxy reverso com autenticação. Trata-se de medida geral, não de correção verificada.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições a endpoints de log com caracteres de caminho incomuns ou nomes de arquivo inesperados.
- Monitore os hosts que executam o painel para exclusões ou alterações inesperadas em arquivos de log e arquivos do sistema.
- Gere alertas para acessos não autenticados a interfaces administrativas ou de monitoramento.
Limitações das informações disponíveis
- O registro não informa versão corrigida, posicionamento do fornecedor nem lista de versões afetadas além da descrição.
- Não há pontuação EPSS nem dados SSVC disponíveis.
- Esta análise descreve a fraqueza apenas em nível geral e não inclui detalhes técnicos de exploração.
Perguntas frequentes
O que é a CVE-2026-25069?
É uma fraqueza de path traversal (CWE-22) nos endpoints da API de arquivos de log do SunFounder Pironman Dashboard (pm_dashboard), versão 1.3.13 e anteriores, segundo o registro.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Confirmar se o pm_dashboard está instalado, mantê-lo fora de redes não confiáveis, verificar no repositório do fornecedor se há versão corrigida e restringir o acesso até que a correção seja aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.