CVE-2026-41202: Path traversal Zip Slip na restauração de backup do ci4ms com risco de RCE

Visão geral

A CVE-2026-41202 é uma fragilidade de path traversal (CWE-22, Zip Slip) na funcionalidade de restauração de backup do ci4ms, um esqueleto de CMS baseado em CodeIgniter. A rotina de restauração extrai arquivos ZIP fornecidos pelo usuário sem verificar se os nomes das entradas apontam para fora do diretório de extração previsto. O registro indica que o problema foi corrigido na versão 0.31.5.0. As informações foram obtidas na entrada do NVD e na release no GitHub.

Impacto

O registro descreve três consequências: gravação de arquivos em locais arbitrários do sistema de arquivos, colocação de um arquivo PHP na raiz pública da web e execução remota de código. A pontuação CVSS de 9,4 atribuída pelo CNA do GitHub reflete alto impacto na confidencialidade, integridade e disponibilidade, com baixo nível de privilégio exigido. O atacante precisa ser um usuário autenticado do backend com a permissão de criação de backup, o que restringe o conjunto de potenciais atacantes, mas não elimina o risco dentro de perfis administrativos.

Produtos e versões afetadas

Produto: ci4ms (ci4-cms-erp/ci4ms).
Afetado: versões anteriores à 0.31.5.0, conforme a descrição.
Corrigido: 0.31.5.0, segundo a descrição e o aviso no GitHub.
Os campos estruturados de versões afetadas e correções estão vazios no registro, portanto o intervalo exato e eventuais correções em ramos anteriores não são confirmados por dados legíveis por máquina.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,00724, com percentil de 0,52812. Esses valores são estimativas estatísticas e não constituem evidência de ataques.

Correção e mitigação

Atualize o ci4ms para a versão 0.31.5.0 ou superior como medida principal.
Enquanto a atualização não for feita, restrinja a permissão de criação de backup ao menor grupo possível de administradores confiáveis e revise as atribuições de papéis.
Trate arquivos de backup de fontes não confiáveis como hostis e não os restaure em sistemas de produção.
Verifique se a raiz pública da web contém arquivos PHP inesperados e remova os que não puderem ser atribuídos à aplicação.
Sempre que possível, limite as permissões de escrita do usuário do servidor web aos diretórios que realmente precisam delas.

Orientações de detecção

Revise os registros de operações de restauração de backup em busca de usuários, horários ou envios de arquivos inesperados.
Monitore a raiz pública da web para arquivos PHP criados ou modificados e compare o inventário com uma linha de base confiável.
Gere alertas para arquivos gravados fora dos diretórios esperados de upload e armazenamento da aplicação após uma ação de restauração.

Limitações das informações disponíveis

O registro não traz em formato estruturado o intervalo exato de versões afetadas, não informa se ramos anteriores mantidos receberam correções separadas e não fornece detalhes técnicos de verificação ou prova de conceito. Não é possível afirmar se o caminho de código vulnerável é alcançável em todas as configurações de implantação. O status de exploração se limita ao que as fontes consultadas relatam.

Perguntas frequentes

Qual é a vulnerabilidade da CVE-2026-41202?

A rotina de restauração de backup do ci4ms extrai arquivos ZIP enviados sem validar os nomes das entradas, o que caracteriza um path traversal do tipo Zip Slip (CWE-22).

Quais versões estão corrigidas?

O registro indica que o problema foi corrigido na versão 0.31.5.0. As versões anteriores são descritas como afetadas.

Quem pode explorar esta falha?

Segundo o registro, um usuário autenticado do backend com a permissão de criação de backup.

Esta CVE é conhecida por ser explorada ativamente?

Ela não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.