CVE-2026-44225: Pulpy, empacotador de apps desktop: path traversal expõe arquivos da pasta home

Visão geral

O Pulpy é um empacotador de aplicações desktop leve e multiplataforma para aplicações web. Segundo o aviso de segurança do GitHub, as versões anteriores à 0.1.1 injetam uma API JavaScript pulpy.fs em todas as aplicações web empacotadas. A função validateFsPath() deveria isolar essa API, mas sua lista de bloqueio é incompleta.

Impacto

Qualquer aplicação web empacotada com uma versão afetada do Pulpy pode ler e gravar arquivos arbitrários na pasta home do usuário.
O aviso cita exemplos como ~/.ssh/id_rsa, ~/.aws/credentials e ~/Library/Keychains/.
O vetor CVSS 3.1 do registro indica vetor de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto em confidencialidade e integridade.

Produtos e versões afetados

As versões do Pulpy anteriores à 0.1.1 são descritas como afetadas.
O registro traz uma lista de afetados vazia e não contém CPE nem intervalos de versão, por isso o limite inferior exato das versões afetadas é desconhecido.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O registro também informa probabilidade EPSS de 0,01398 e percentil de 0,7176.

Correção e mitigação

Atualize o Pulpy para a versão 0.1.1 ou posterior, que segundo o aviso contém a correção.
Recompile e redistribua os pacotes de aplicações web gerados com versões antigas do Pulpy, pois a API injetada faz parte do pacote final.
Até a atualização, instale aplicações web empacotadas apenas de fontes confiáveis.

Orientações de detecção

Faça o inventário dos sistemas em que aplicações empacotadas com o Pulpy estão instaladas e registre a versão do Pulpy de cada uma.
Revise leituras ou alterações inesperadas de arquivos sensíveis do usuário feitas por aplicações desktop, como chaves SSH, credenciais de nuvem e repositórios de chaves.
Se houver suspeita de exposição, a rotação das credenciais afetadas é uma precaução geral, não uma recomendação do registro.

Limitações das informações disponíveis

O registro não descreve a técnica específica de contorno nem as entradas ausentes na lista de bloqueio, e esta análise não as acrescenta.
Não há solução alternativa do fornecedor, commit de correção nem lista estruturada de produtos afetados.
O registro indica o status da fonte como Deferred, cujo significado é desconhecido.

Perguntas frequentes

Quais versões são afetadas pela CVE-2026-44225?

Segundo o registro, as versões do Pulpy anteriores à 0.1.1 são afetadas. O registro não traz uma lista estruturada de produtos ou intervalos de versão afetados.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.