CVE-2026-41553: DHTMLX PDF Export Module: execução remota de código
O PDF Export Module usado nos produtos Gantt e Scheduler da DHTMLX possui falha de execução remota de código, pois o parâmetro "data" não é sanitizado. O registro descreve a exploração sem autenticação, e NVD e CERT-PL atribuem pontuação base CVSS de 10. O problema foi corrigido na versão 0.7.6 do módulo, e as fontes consultadas não mostram exploração confirmada.
Visão geral
O DHTMLX PDF Export Module, usado com os produtos Gantt e Scheduler, contém uma falha de execução remota de código. Segundo o registro, o parâmetro "data" não é sanitizado, e os valores enviados a ele são processados pelo Node.js e depois executados.
Impacto
O registro afirma que a exploração bem-sucedida pode levar ao comprometimento do servidor. NVD e CERT-PL reportam pontuação base CVSS de 10, e os dados SSVC do registro classificam o impacto técnico como total. O registro também indica que o problema é automatizável.
Produtos e versões afetados
- DHTMLX PDF Export Module anterior à 0.7.6.
- O registro também lista um intervalo de 0.3.3 até antes de 0.7.6.
- Versões anteriores à 0.3.3 não são cobertas pelos intervalos listados, por isso sua situação é desconhecida com base neste registro.
Status de exploração
Segundo o registro, o catálogo KEV da CISA não lista este CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro mostra probabilidade EPSS de 0.01049 e valor de exploração SSVC igual a none.
Remediação e mitigação
- Atualize o PDF Export Module para a versão 0.7.6 ou posterior, conforme indicado nas notas de versão do fornecedor.
- Até concluir a atualização, restrinja quais redes e usuários podem acessar a funcionalidade de exportação de PDF e verifique se ela está exposta a usuários não autenticados.
- Levante todas as implantações de DHTMLX Gantt e Scheduler que incluam o PDF Export Module.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns aos endpoints de exportação de PDF.
- Monitore o serviço Node.js quanto a processos filhos inesperados, acessos a arquivos ou conexões de saída incomuns.
- Correlacione esses sinais com horários das requisições e endereços de origem para identificar possível uso indevido.
Limitações das informações disponíveis
- O registro não descreve o endpoint afetado, o formato das requisições nem uma prova de conceito, e não inclui o diff da correção.
- O campo fixes do registro está vazio, embora a descrição e a nota de versão do fornecedor indiquem a correção na 0.7.6.
- O CWE atribuído é OS Command Injection (CWE-78), enquanto a descrição fala em JavaScript processado pelo Node.js; o registro não explica essa correspondência.
- O link do aviso do CERT-PL usa o identificador CVE-2026-7182 em seu endereço, diferente deste CVE, por isso a ligação não é verificada apenas pelo registro.
Perguntas frequentes
Este CVE está no catálogo KEV da CISA?
Segundo o registro, não está listado no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
A descrição do registro e a nota de versão do fornecedor indicam que o PDF Export Module 0.7.6 contém a correção.
Quais versões são afetadas?
O registro lista versões anteriores à 0.7.6 e um intervalo de 0.3.3 até antes de 0.7.6. Versões mais antigas não são cobertas por esses intervalos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.