CVE-2026-40258: Travessia de caminho (Zip Slip) na importação de arquivos de mídia do Gramps Web API
A CVE-2026-40258 é uma falha de travessia de caminho (Zip Slip) na funcionalidade de importação de arquivos de mídia do Gramps Web API, que afeta as versões 1.6.0 até 3.11.0. Segundo o registro, um usuário autenticado com privilégios de proprietário poderia usar um arquivo ZIP especialmente construído para gravar arquivos fora do diretório temporário de extração. A descrição indica que a versão 3.11.1 passou a validar os caminhos das entradas em relação ao diretório temporário e interrompe a importação quando alguma entrada fica fora dele.
Visão geral
A CVE-2026-40258 afeta a funcionalidade de importação de arquivos de mídia do Gramps Web API, uma API REST em Python para o software de genealogia Gramps. A fraqueza é classificada como CWE-22 (Travessia de caminho), conhecida como Zip Slip. O aviso de segurança do projeto no GitHub é o GHSA-m5gr-86j6-99jp.
Impacto
- Segundo o registro, um usuário autenticado com privilégios de proprietário pode fazer com que arquivos sejam gravados fora do diretório temporário de extração previsto no servidor.
- O registro atribui pontuação base 9.1 (Crítica) pelo CVSS 3.1, com alto impacto na confidencialidade, integridade e disponibilidade e escopo alterado. O vetor também exige privilégios altos, o que é coerente com o requisito de proprietário.
- As consequências práticas dependem de detalhes de implantação que não constam no registro.
Produtos e versões afetadas
- Produto: Gramps Web API (gramps-project).
- Faixa afetada indicada na descrição: versões 1.6.0 até 3.11.0.
- A versão 3.11.1 é descrita como a que adiciona a validação das entradas do ZIP.
- Os campos estruturados de afetados e correções do registro estão vazios, portanto a faixa deve ser confirmada no aviso e nas notas de versão.
Status de exploração
O registro mostra que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas. A probabilidade EPSS é 0.00611, com percentil 0.4788. O EPSS estima a probabilidade de exploração e não é evidência de que a exploração tenha ocorrido.
Correção e mitigação
- Atualize o Gramps Web API para a versão 3.11.1 ou superior, conforme descrito na página da versão.
- Enquanto a atualização não for aplicada, limite o número de contas com privilégios de proprietário e restrinja a importação de arquivos de mídia a usuários confiáveis.
- Revise o commit de correção para confirmar que a mudança está presente na sua implantação.
Orientações de detecção
- Revise os logs da aplicação quanto às operações de importação de mídia, especialmente as realizadas por contas de proprietário que normalmente não importam dados.
- Monitore o servidor quanto a arquivos criados fora do diretório temporário de importação da aplicação e quanto a erros de importação gerados pela verificação de caminhos.
- Mantenha cópias de segurança dos diretórios de mídia e de dados para identificar e reverter alterações inesperadas.
Limitações das informações disponíveis
- O registro não inclui faixas de versões afetadas estruturadas, campos de versão corrigida nem contexto de implantação.
- O registro não informa se existe código de prova de conceito público, portanto essa informação é desconhecida.
- As fontes consultadas não descrevem impacto no mundo real nem incidentes.
Perguntas frequentes
Quais versões do Gramps Web API são afetadas pela CVE-2026-40258?
O registro indica que as versões 1.6.0 até 3.11.0 são afetadas. A versão 3.11.1 é descrita como a que contém a correção.
A CVE-2026-40258 é explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.