CVE-2026-34415: Xerte Online Toolkits: validação incompleta no conector elFinder leva a RCE

Visão geral

A CVE-2026-34415 afeta o Xerte Online Toolkits na versão 3.15 e anteriores. Segundo o registro, o endpoint do conector elFinder apresenta uma falha de validação de entrada incompleta: a expressão regular que deveria bloquear extensões executáveis em PHP não cobre a extensão .php4. O registro classifica a fraqueza como CWE-184 (lista incompleta de entradas proibidas).

Impacto

O registro afirma que atacantes não autenticados poderiam combinar essa falha com problemas de bypass de autenticação e path traversal para executar comandos arbitrários no sistema operacional do servidor.
A pontuação base CVSS 3.1 é 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, informada pela CNA VulnCheck.
O mesmo fornecedor lista também uma pontuação CVSS 4.0 de 9.3.
O vetor v3.1 classifica os impactos de confidencialidade, integridade e disponibilidade como altos.

Produtos e versões afetados

Produto: Xerte Online Toolkits, versão 3.15 e anteriores, conforme descrito no registro.
Os campos estruturados de versões afetadas e corrigidas do registro estão vazios, de modo que a faixa de versões vem apenas do texto da descrição.
Não é possível determinar pelo registro isoladamente se versões posteriores contêm a correção.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA.
Não há exploração confirmada no ambiente real nas fontes consultadas nesta análise.
A probabilidade EPSS registrada é 0.04428, com percentil de 0.9117.

Correção e mitigação

Consulte a página de downloads do fornecedor e o changelog da versão 3.15 listados no registro, e confirme com o fornecedor a versão corrigida.
Planeje a atualização para uma versão que o fornecedor documente como contendo a correção. O registro não confirma qual versão é essa.
Enquanto não houver correção, restrinja a exposição do toolkit a redes confiáveis e avalie se o conector elFinder precisa estar acessível pela internet.
Trate arquivos PHP inesperados em diretórios de upload ou conteúdo como possível comprometimento e investigue-os.

Orientação para detecção

Analise os logs do servidor web em busca de requisições ao conector elFinder que mostrem operações de arquivo incomuns ou nomes de arquivo inesperados.
Monitore a criação ou renomeação de scripts do lado do servidor, especialmente com extensões relacionadas a PHP menos comuns.
Procure processos filhos inesperados iniciados pela conta do servidor web.
Compare o diretório da aplicação com uma linha de base conhecida como íntegra para identificar arquivos não autorizados.

Limitações das informações disponíveis

O registro não traz dados estruturados de versões afetadas ou corrigidas, nem entrada no KEV ou no SSVC.
O campo de nome da CWE está vazio no registro.
Os componentes de bypass de autenticação e path traversal são descritos apenas em nível de resumo.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-04-22), por isso o valor deve ser interpretado com cautela.

Perguntas frequentes

Quais versões do Xerte Online Toolkits são afetadas?

O registro descreve a versão 3.15 e anteriores como afetadas. O campo estruturado de versões afetadas está vazio, por isso confirme a faixa exata com o fornecedor.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada no ambiente real nas fontes consultadas nesta análise.

O que os administradores devem fazer agora?

Consulte as informações de versão do fornecedor, planeje a atualização para uma versão documentada como corrigida, restrinja a exposição do toolkit e revise logs e arquivos em busca de PHP inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.