CVE-2026-27641: Flask-Reuploaded: travessia de caminho leva a execução remota de código via SSTI

Visão geral

O Flask-Reuploaded é uma extensão Python que oferece tratamento de uploads de arquivos para aplicações Flask. O aviso publicado no GitHub, refletido no registro CVE, descreve uma falha crítica que combina travessia de caminho e bypass de extensão, podendo levar à escrita arbitrária de arquivos e à execução remota de código por meio de Server-Side Template Injection (SSTI). No registro, a fraqueza é classificada como CWE-22 (Path Traversal).

Impacto

O registro descreve escrita arbitrária de arquivos por atacantes remotos e execução remota de código via SSTI.
A pontuação base CVSS fornecida pelo GitHub é 9,8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
Os dados SSVC do registro indicam impacto técnico total, exploração como none e que o problema é automatizável.

Produtos e versões afetadas

Produto: Jugmac00 Flask-reuploaded.
Afetados: versões anteriores à 1.5.0.
Corrigido: versão 1.5.0, conforme a descrição do registro.
O registro não lista outros intervalos de versões afetadas.

Status de exploração

O CISA KEV não lista esta CVE, portanto a exploração ativa não é confirmada por essa fonte.
Não aparece exploração confirmada na natureza nas fontes consultadas.
Uma referência do registro traz a etiqueta Exploit em seus metadados; essa etiqueta, por si só, não confirma exploração.
O EPSS informado no registro é de 0,01384, com percentil de 0,72002.

Correção e mitigação

Atualize o Flask-Reuploaded para a versão 1.5.0 ou superior, que segundo o projeto contém a correção.
Se a atualização não for possível de imediato, aplique as medidas provisórias listadas no registro: não passe entrada do usuário para o parâmetro name, use apenas nomes de arquivo gerados automaticamente e aplique validação rigorosa de entrada caso name seja necessário.
Revise as aplicações que usam essa extensão para verificar se dados controlados pelo usuário chegam à definição de nomes de arquivo ou à renderização de templates.

Orientação para detecção

Revise os logs de upload em busca de nomes de arquivo com separadores de diretório, extensões inesperadas ou caracteres incomuns.
Verifique se há arquivos em diretórios inesperados, especialmente caminhos acessíveis pela web ou relacionados a templates.
Monitore erros da aplicação e comportamento incomum de renderização de templates, que podem indicar tentativas de injeção.
Mantenha essas verificações em nível geral; o registro não fornece indicadores de comprometimento.

Limitações das informações disponíveis

O registro não descreve o trecho de código vulnerável, o bypass exato nem o conjunto completo de configurações de implantação afetadas.
O registro não informa se existe prova de conceito pública além da etiqueta Exploit em uma referência.
A data do EPSS no registro é posterior à data de publicação, então os valores do EPSS devem ser tratados como um retrato com temporalidade incerta.
As fontes consultadas foram o próprio registro e as referências listadas; nenhum teste independente foi realizado.

Perguntas frequentes

Quais versões do Flask-Reuploaded são afetadas pela CVE-2026-27641?

O registro lista as versões anteriores à 1.5.0 como afetadas. O projeto informa que a versão 1.5.0 contém a correção.

Há exploração ativa conhecida para esta vulnerabilidade?

Não. O CISA KEV não lista esta CVE e não aparece exploração confirmada na natureza nas fontes consultadas.

O que fazer se não for possível atualizar imediatamente?

O registro lista medidas provisórias: não passar entrada do usuário para o parâmetro name, usar somente nomes de arquivo gerados automaticamente e aplicar validação rigorosa caso name seja necessário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.