CVE-2026-41247: elFinder: injeção de comando no parâmetro de cor de fundo do redimensionamento com ImageMagick CLI
Versões do elFinder anteriores à 2.1.67 contêm uma falha de injeção de comando no comando de redimensionamento quando o backend ImageMagick CLI é usado. Segundo o registro, o parâmetro bg, que define a cor de fundo, é inserido em strings de comando de shell sem escaping suficiente. A NVD atribui pontuação CVSS base crítica de 9.8, e o registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.
Visão geral
O elFinder é um gerenciador de arquivos de código aberto para a web, escrito em JavaScript com jQuery UI. Segundo o registro, versões anteriores à 2.1.67 apresentam uma fraqueza de injeção de comando no comando de redimensionamento. O parâmetro bg (cor de fundo) passa pelo processamento de redimensionamento e rotação de imagens e, quando o backend ImageMagick CLI é usado, é incorporado a strings de comando de shell sem escaping suficiente.
Impacto
- O registro informa que um invasor capaz de invocar o comando de redimensionamento com um valor bg elaborado pode obter execução arbitrária de comandos como o usuário do processo do servidor web.
- A fraqueza é classificada como CWE-78, injeção de comando no sistema operacional.
- A NVD informa pontuação CVSS base de 9.8 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade no vetor. O registro do CNA do GitHub lista pontuação de 8.9 em outra versão do CVSS.
Produtos e versões afetadas
- Std42 Elfinder: versões anteriores à 2.1.67.
- Studio-42 elFinder: versões anteriores à 2.1.67.
- O registro informa que a vulnerabilidade é corrigida na versão 2.1.67.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, portanto o registro não indica exploração ativa ou explorada na natureza. Os campos SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.02653, com percentil de 0.85556. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o elFinder para a versão 2.1.67 ou superior, identificada no registro como a versão corrigida.
- O aviso de segurança do GitHub citado no registro é classificado ali como referência de mitigação. Consulte-o para orientações do fornecedor.
- Até a atualização, avalie se a funcionalidade de redimensionamento é necessária e restrinja quem pode acessá-la, sobretudo em implantações expostas à internet.
- Verifique se o backend ImageMagick CLI está em uso e execute o servidor web com uma conta de privilégio mínimo.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao endpoint de redimensionamento com valores de cor de fundo incomuns ou inesperados.
- Monitore processos filhos inesperados iniciados pelo usuário do servidor web, que podem indicar execução de comandos.
- Verifique alterações inesperadas em arquivos ou conexões de saída originadas do servidor web após requisições de redimensionamento.
Limitações das informações disponíveis
- O registro não identifica as linhas de código vulneráveis, a falha exata de escaping nem o diff da correção.
- Não está claro no registro se backends diferentes do ImageMagick CLI são afetados.
- O registro não inclui prova de conceito nem cronologia de exploração, e nenhuma exploração é confirmada nas fontes consultadas.
- Os nomes dos produtos afetados diferem entre as duas entradas, e o registro não explica a diferença.
Perguntas frequentes
Quais versões do elFinder são afetadas pela CVE-2026-41247?
Segundo o registro, versões anteriores à 2.1.67 são afetadas, e a 2.1.67 é a versão corrigida.
Há registro de exploração ativa desta vulnerabilidade?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração SSVC do registro é none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.