CVE-2026-44449: Lumiverse: injeção de argumento no tratamento de caminhos SMB em exists()
A CVE-2026-44449 afeta o Lumiverse anterior à versão 0.9.7. Quando a conversão principal de caminho falha, um mecanismo alternativo valida apenas o diretório, e o nome-base não validado pode chegar a um script do smbclient e ser interpretado como comandos. O CNA classifica como crítica, com CVSS 3.1 de 9.1, e as fontes consultadas não mostram exploração confirmada.
Visão geral
O Lumiverse é uma aplicação de chat com IA. A CVE-2026-44449 descreve uma falha no tratamento de caminhos SMB no método exists(). Quando a conversão principal de caminho falha, um mecanismo alternativo valida apenas o componente de diretório, deixando o nome-base sem validação antes de ele ser passado ao smbclient.
Impacto
O registro descreve execução arbitrária de comandos no servidor Lumiverse. A pontuação base CVSS 3.1 é 9.1 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, conforme informado pelo CNA e pelo GitHub. A fraqueza atribuída é a CWE-88 (Injeção de Argumento).
Produtos e versões afetadas
- Prolix-oc Lumiverse, versões anteriores à 0.9.7.
O registro não possui um campo separado de versão corrigida. Sua descrição afirma que o problema está corrigido na versão 0.9.7.
Status de exploração
A CISA KEV não lista esta CVE. A probabilidade EPSS é 0.00856 (percentil 0.57309), e o SSVC classifica a exploração como poc e a automatizabilidade como no. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Atualize o Lumiverse para a versão 0.9.7 ou superior, conforme indicado no registro.
- Consulte o aviso GHSA-4v38-9hqq-7j53 para orientações do mantenedor.
- Até a atualização, limite quais usuários podem acessar funcionalidades de caminho de arquivo que usam SMB e restrinja o acesso de rede do servidor aos compartilhamentos SMB.
- Execute o serviço com o menor privilégio possível, para limitar o alcance de um eventual comprometimento.
Orientações de detecção
- Registre e revise entradas de caminho relacionadas a SMB em busca de caracteres incomuns em nomes de arquivo, especialmente separadores e caracteres de escape de shell.
- Monitore o host do Lumiverse em busca de processos filhos inesperados iniciados pela aplicação ou pelo smbclient.
- Gere alertas para conexões de saída inesperadas ou novas contas locais originadas do servidor.
Limitações das informações disponíveis
O registro não descreve as condições exatas necessárias para alcançar o mecanismo alternativo e não possui campo de versão corrigida. O status da fonte é Deferred. Não é possível saber se uma implantação específica usa o caminho de código afetado. A análise se baseia apenas no registro e no aviso citado.
Perguntas frequentes
Esta CVE é conhecida por ser explorada?
A CISA KEV não a lista, e não há exploração confirmada nas fontes consultadas. O valor SSVC de exploração é poc.
Qual versão corrige o problema?
A descrição do registro afirma que a versão 0.9.7 corrige o problema. O registro não possui campo separado de versão corrigida, então consulte o aviso para detalhes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.