CVE-2026-39405: Frappe LMS: Path Traversal via upload de pacote SCORM
A CVE-2026-39405 afeta o Frappe LMS nas versões 2.50.0 e anteriores. Um usuário com a função de edição de cursos podia enviar um pacote ZIP SCORM para gravar arquivos fora do diretório pretendido, uma falha de path traversal classificada como CWE-22. O registro indica que o problema foi resolvido na versão 2.50.1, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Frappe LMS é um sistema de gestão de aprendizagem. Segundo o registro, nas versões 2.50.0 e anteriores, um usuário com a função de edição de cursos podia enviar um pacote ZIP SCORM que gravava arquivos fora do diretório pretendido. A fraqueza é classificada como CWE-22 (Path Traversal), e o registro informa que foi resolvida na versão 2.50.1.
Impacto
- A CNA GitHub atribui pontuação 9.4 pelo CVSS 4.0, com impacto alto em confidencialidade, integridade e disponibilidade no vetor.
- Como a gravação ocorre fora do diretório pretendido, um editor de cursos autenticado poderia potencialmente alterar arquivos que a aplicação não expõe a esse perfil. O alcance real depende da implantação e não está detalhado no registro.
Produtos e versões afetadas
- Produto: Frappe LMS (frappe/lms).
- Afetados: versões 2.50.0 e anteriores, conforme descrito no registro. A faixa afetada listada é inferior a 2.50.1.
- Corrigido: versão 2.50.1, referenciada pela tag de release no GitHub e pelo aviso de segurança.
Status de exploração
O CISA KEV não lista este CVE, e as fontes consultadas não mostram exploração confirmada na natureza. Os dados SSVC do registro indicam exploração como none e automatização como não. A probabilidade EPSS registrada é 0.00454, com percentil de 0.3765.
Correção e mitigação
- Atualize o Frappe LMS para a versão 2.50.1 ou posterior, que o registro identifica como a versão corrigida.
- Até a atualização, restrinja a função de edição de cursos a usuários confiáveis e revise quem pode enviar pacotes SCORM.
- Revise os envios SCORM existentes e o sistema de arquivos do servidor em busca de arquivos inesperados fora dos diretórios da aplicação.
Orientações de detecção
- Monitore os logs da aplicação quanto a envios de pacotes SCORM por editores de cursos e revise nomes de arquivos ou caminhos de destino incomuns.
- Audite alterações no sistema de arquivos nos diretórios da aplicação LMS após envios de conteúdo.
- Acompanhe atribuições de funções e a atividade de contas com privilégios de edição de cursos.
Limitações das informações disponíveis
O registro não inclui detalhes técnicos da causa raiz, os caminhos específicos afetados nem qualquer prova de conceito. O campo de correções do registro está vazio, mas a tag de release e o aviso referenciam a versão 2.50.1. Consulte o aviso do fabricante para detalhes completos antes de tomar decisões com base no escopo.
Perguntas frequentes
Quais versões do Frappe LMS são afetadas pelo CVE-2026-39405?
O registro descreve as versões 2.50.0 e anteriores como afetadas, e lista a faixa afetada como versões inferiores a 2.50.1.
O CVE-2026-39405 é conhecido por ser explorado na natureza?
O CISA KEV não lista este CVE, e as fontes consultadas não mostram exploração confirmada. Os dados SSVC do registro indicam exploração como none.
O que os administradores devem fazer agora?
Atualize o Frappe LMS para a versão 2.50.1 ou posterior, restrinja a função de edição de cursos a usuários confiáveis e revise envios SCORM recentes e alterações no sistema de arquivos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.