CVE-2026-44258: efw4.X: Path Traversal via parâmetro dst não validado

Visão geral

O Enterprise Framework for Web efw4.X apresenta uma fraqueza de path traversal no tratamento de operações de cópia e movimentação de arquivos. Segundo o registro, os parâmetros target e targets são verificados quanto a traversal e contenção no diretório home, mas o parâmetro dst usado por elfinder_paste não é verificado. O registro afirma que isso contorna o controle protected=true. O título do registro também menciona execução remota de código, mas a descrição não explica como esse resultado decorre da falha.

Impacto

O vetor CVSS 4.0 fornecido pelo CNA descreve um ataque pela rede, sem privilégios e sem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
Conforme a descrição, arquivos podem ser copiados ou movidos do diretório home para locais arbitrários, o que ameaça a integridade de outros arquivos do host.
O CWE indicado no registro é o CWE-78 (Injeção de Comando no Sistema Operacional), que não corresponde à descrição de path traversal. O registro não explica a relação entre os dois.

Produtos e versões afetados

Produto: efwGrp efw4.X, versões anteriores à 4.08.010.
O registro não lista versões afetadas a partir da 4.08.010.
A lista de correções do registro está vazia, mas a descrição informa que o problema foi corrigido na 4.08.010.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC do registro classificam a exploração como poc, que, na escala SSVC, indica que há material de prova de conceito registrado; isso não confirma exploração ativa. A probabilidade EPSS é 0,00471, com percentil de 0,39.

Remediação e mitigação

Atualize o efw4.X para a versão 4.08.010 ou posterior, conforme informado no registro.
Enquanto a atualização não for aplicada, restrinja o acesso de rede à aplicação e limite quem pode usar sua interface de gerenciamento de arquivos.
Execute a conta do serviço web com as menores permissões de sistema de arquivos necessárias, para que operações de arquivo não alcancem locais sensíveis.
Consulte o aviso de segurança do GitHub do fornecedor para detalhes e confirme a correção no seu ambiente.

Orientações de detecção

Revise os logs da aplicação em busca de operações de cópia, movimentação ou colagem cujo destino esteja fora do diretório home esperado.
Procure arquivos criados ou modificados fora dos diretórios esperados da aplicação, especialmente pela conta do serviço web.
Correlacione os eventos de operação de arquivos com as contas de usuário e os endereços de origem que os executaram.

Limitações das informações disponíveis

O registro não descreve o mecanismo pelo qual o traversal levaria à execução remota de código, portanto essa afirmação não pode ser verificada apenas com o registro.
A atribuição de CWE (CWE-78) difere da descrição de path traversal, e o registro não concilia as duas.
A lista de correções está vazia; a versão corrigida é conhecida apenas pela descrição e pelo aviso citado.
O status da fonte está registrado como Deferred, e o registro não explica o significado desse status.
A data EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-12), por isso os valores EPSS devem ser verificados em uma fonte atualizada.

Perguntas frequentes

Qual é a falha no efw4.X?

Segundo o registro, o parâmetro dst usado por elfinder_paste não é validado quanto a path traversal nem quanto à contenção no diretório home, embora target e targets sejam verificados. Isso permite que operações de arquivo alcancem destinos arbitrários.

Quais versões são afetadas?

O registro lista como afetadas as versões do efwGrp efw4.X anteriores à 4.08.010, e informa que a correção está na 4.08.010.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC indicam exploração como poc, o que não confirma exploração ativa.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.