CVE-2026-37637: Alexantr filemanager - injeção de código via filemanager.php
A CVE-2026-37637 é uma fraqueza de injeção de código (CWE-94) registrada no Alexantr filemanager v1.0, no componente filemanager.php, que segundo o registro permite a um atacante remoto executar código arbitrário. A pontuação CVSS 3.1 do registro é 9.1 (Crítica), mas não há dados de versões afetadas ou corrigidas. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-37637 é um problema de injeção de código (CWE-94) registrado no Alexantr filemanager na versão 1.0, afetando o componente filemanager.php. Segundo o registro da CVE, um atacante remoto pode executar código arbitrário. O registro aparece com status de fonte Deferred e foi publicado em 2026-06-29.
Impacto
- O vetor CVSS 3.1 do registro indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário.
- Os impactos de confidencialidade e integridade são classificados como altos; o impacto de disponibilidade é nulo.
- A execução bem-sucedida de código permitiria ao atacante rodar comandos no contexto da aplicação web que hospeda o componente, o que é uma inferência a partir da classe da vulnerabilidade.
Produtos e versões afetadas
- O registro identifica o Alexantr filemanager v1.0 como afetado.
- As listas de versões afetadas e corrigidas do registro estão vazias, por isso o alcance completo além da v1.0 é desconhecido.
Status de exploração
- A CVE não consta no catálogo KEV da CISA no registro. Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é de cerca de 0,66 por cento, em torno do 50º percentil. O EPSS estima a probabilidade de exploração e não é prova de que ela tenha ocorrido.
Correção e mitigação
- Não há versão corrigida listada no registro. Isso não significa que não exista correção; verifique o status atual com os mantenedores do projeto e com o repositório referenciado.
- Se o produto estiver em uso, restrinja o acesso ao gerenciador de arquivos a administradores confiáveis, remova-o de implantações expostas à internet quando não for necessário e coloque-o atrás de autenticação ou controles de rede.
- Revise como o gerenciador trata uploads e operações com arquivos, e garanta que o servidor web não execute conteúdo enviado.
- Se não houver correção disponível, considere substituir o componente por uma alternativa mantida.
Orientações de detecção
- Inventarie os hosts em busca do pacote Alexantr filemanager e do arquivo filemanager.php.
- Monitore os logs do servidor web em busca de requisições inesperadas ao filemanager.php, especialmente de origens desconhecidas.
- Observe a criação ou alteração de arquivos em diretórios acessíveis pela web e processos do servidor web que iniciem subprocessos inesperados.
Limitações das informações disponíveis
- O registro não contém aviso do fornecedor nem dados de versões afetadas ou corrigidas.
- A descrição não identifica o parâmetro vulnerável, as pré-condições nem a configuração necessária.
- O repositório do GitHub citado no registro não foi verificado como fonte do fornecedor e seu conteúdo não foi analisado aqui.
- A pontuação CVSS vem do provedor do registro; as páginas do NVD e do CVE Record constam como páginas de origem.
Perguntas frequentes
A CVE-2026-37637 está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, por causa da pontuação CVSS crítica, convém tratá-la como prioridade alta.
Quais versões são afetadas?
O registro identifica o Alexantr filemanager v1.0. Não há outras versões afetadas ou corrigidas listadas, por isso o alcance além da v1.0 é desconhecido.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.