CVE-2026-42196: Path traversal no S3FileMiddleware do django-s3file
A CVE-2026-42196 é uma falha de path traversal (CWE-22) no S3FileMiddleware do django-s3file, uma biblioteca de upload de arquivos para Django e Amazon S3, nas versões anteriores à 7.0.2. O CNA do GitHub a classificou com nota 9.9, crítica, pelo CVSS v4.0, e o registro afirma que a correção está na 7.0.2. Não aparece exploração confirmada nas fontes consultadas, e o registro não indica inclusão no catálogo KEV da CISA.
Visão geral
A CVE-2026-42196 afeta o django-s3file, uma biblioteca que trata uploads de arquivos em aplicações Django que usam Amazon S3. Segundo o registro, o S3FileMiddleware nas versões anteriores à 7.0.2 pode ser levado por uma requisição modificada a sair dos locais de upload pré-assinados, fazendo a aplicação carregar em request.FILES arquivos de locais não previstos.
Impacto
O registro afirma que, dependendo de como os arquivos enviados são tratados, isso pode resultar em problemas de confidencialidade e integridade. O CNA do GitHub classificou a CVE com nota 9.9, crítica, pelo CVSS v4.0, e o vetor indica alto impacto em confidencialidade e integridade, sem impacto em disponibilidade. O registro não descreve quais dados poderiam ser expostos.
Produtos afetados e versões
- Produto: django-s3file
- Afetado: versões anteriores à 7.0.2, conforme a descrição
- Corrigido: 7.0.2, conforme a descrição
- Os campos estruturados de afetados e correções do registro estão vazios, então as informações de versão vêm apenas do texto descritivo.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Não aparece exploração ativa confirmada nem exploração em campo nas fontes consultadas.
Correção e mitigação
- Atualize o django-s3file para a versão 7.0.2 ou superior, conforme indicado no registro.
- Verifique se suas aplicações Django usam o S3FileMiddleware e inclua a atualização no processo normal de mudanças.
- Enquanto a atualização não for possível, revise como a aplicação trata uploads e restrinja quem pode acessar os endpoints de upload, com base na sua própria avaliação de risco. Outros detalhes de mitigação não constam no registro.
Orientação para detecção
- Revise logs web e de aplicação em busca de requisições de upload com valores que pareçam caminhos incomuns ou referências inesperadas a arquivos.
- Monitore o surgimento de arquivos inesperados nos locais de processamento ou armazenamento usados pelo fluxo de upload.
- Cruze esses sinais com seu inventário de versões do django-s3file.
Limitações das informações disponíveis
O registro não possui intervalos estruturados de versões afetadas nem detalhes de explorabilidade além da descrição. O status da fonte é Deferred, sem motivo informado. Os valores de EPSS são os registrados: probabilidade 0.0059 e percentil 0.46785. Não é possível saber se outras versões além da descrita são afetadas. Consulte o aviso do GitHub para detalhes oficiais.
Perguntas frequentes
Quais versões do django-s3file são afetadas pela CVE-2026-42196?
Segundo a descrição do registro, as versões anteriores à 7.0.2 são afetadas. Os campos estruturados de versões afetadas estão vazios, então confirme no aviso do GitHub.
A CVE-2026-42196 está sendo explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, e não aparece exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.