CVE-2026-44666: HRConvert2: Injeção de Comando de SO por Sanitização Incompleta de Nomes de Arquivo
Versões do HRConvert2 anteriores à 3.3.8 não removem crases e tabulações na função sanitizeString(), permitindo que nomes de arquivo fornecidos pelo usuário cheguem ao shell_exec() e causem execução de comandos. O CNA GitHub atribui pontuação 9.3 no CVSS 4.0, e o registro não indica inclusão no catálogo KEV da CISA. A atualização para a 3.3.8 é a correção indicada nas fontes.
Visão geral
HRConvert2 é um servidor self-hosted de conversão e compartilhamento de arquivos. Segundo o registro da CVE, versões anteriores à 3.3.8 não removem crases e tabulações na função sanitizeString() em convertCore.php. Assim, a entrada do usuário nos nomes de arquivo pode chegar ao shell_exec(), onde o shell interpreta esses caracteres e pode executar comandos embutidos.
Impacto
O registro atribui pontuação base 9.3 no CVSS 4.0, informada pelo GitHub como CNA. O vetor indica vetor de ataque de rede, baixa complexidade, sem requisitos de ataque, sem privilégios necessários e sem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade do componente vulnerável. A fraqueza é classificada como CWE-78, Injeção de Comando de SO. O título do registro descreve a falha como execução remota de comandos sem autenticação.
Produtos e versões afetados
- Produto: Zelon88 HRConvert2
- Faixa afetada no registro: versões anteriores à 3.3.8
- Versão corrigida: 3.3.8, conforme a descrição do registro e a referência de release vinculada. O campo estruturado de correções do registro está vazio.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Os dados SSVC indicam status de exploração poc e automatizável sim, o que aponta para atividade de prova de conceito divulgada, sem exploração confirmada. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Correção e mitigação
- Atualize o HRConvert2 para a versão 3.3.8 ou superior, versão referenciada no aviso e no release.
- Até concluir a atualização, restrinja o acesso de rede ao serviço a usuários e redes confiáveis.
- Verifique se o serviço está exposto à internet e restrinja a exposição quando a necessidade do negócio permitir.
- Prefira validação no servidor que rejeite caracteres inesperados em nomes de arquivo, em vez de depender da remoção parcial de caracteres.
Orientações de detecção
- Revise os logs da aplicação e do servidor web em busca de envios ou requisições com nomes de arquivo contendo crases, tabulações ou outros metacaracteres de shell.
- Monitore processos filhos inesperados iniciados pelo servidor web ou pelo runtime PHP.
- Verifique os diretórios da aplicação em busca de arquivos ou alterações inesperadas após atividade suspeita.
Limitações das informações disponíveis
O registro não descreve as condições exatas de exploração, a configuração padrão nem quais implantações estão mais expostas. O campo estruturado de correções está vazio, por isso a versão corrigida foi obtida da descrição e da referência de release. Os dados EPSS do registro têm data que deve ser confirmada no feed atual. Não há pontuação CVSS 3.x informada.
Perguntas frequentes
Quais versões do HRConvert2 são afetadas?
O registro lista as versões do Zelon88 HRConvert2 anteriores à 3.3.8 como afetadas.
Existe correção para a CVE-2026-44666?
A descrição e a referência de release vinculada informam que a falha é corrigida na versão 3.3.8. O campo estruturado de correções do registro está vazio.
Esta vulnerabilidade consta no catálogo KEV da CISA?
Não. O registro indica que a CVE não está no catálogo KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.