CVE-2026-45230: DumbAssets: Path Traversal com Exclusão Arbitrária de Arquivos
O DumbAssets até a versão 1.0.11 possui uma falha de path traversal no endpoint de exclusão de arquivos, que pode permitir que atacantes não autenticados apaguem arquivos arbitrários no servidor. O registro atribui pontuação base CVSS 3.1 de 9.1 (crítica), e a remoção de arquivos essenciais como server.js ou package.json pode causar negação de serviço completa. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versão corrigida.
Visão geral
A CVE-2026-45230 afeta o DumbAssets até a versão 1.0.11. A fraqueza é um path traversal (CWE-22) no endpoint POST /api/delete-file e nos parâmetros do array filesToDelete. De acordo com o registro, a validação de entrada não mantém as operações de arquivo dentro do diretório pretendido da aplicação.
O aviso da VulnCheck aparece como fonte de terceiros: aviso da VulnCheck. Uma referência relacionada de acompanhamento de problemas é o pull request 136 no GitHub.
Impacto
- O registro descreve a exclusão arbitrária de arquivos fora do diretório da aplicação.
- A remoção de arquivos críticos, como server.js ou package.json, é descrita como causa de negação de serviço completa.
- O vetor CVSS 3.1 do registro indica nenhum impacto na confidencialidade, alto impacto na integridade e alto impacto na disponibilidade, com acesso pela rede e sem privilégios ou interação do usuário.
- A pontuação CVSS 4.0 do registro, fornecida pela VulnCheck, é 8.8.
Produtos e versões afetadas
- DumbWareio DumbAssets, versões 1.0.11 e anteriores, conforme a faixa afetada do registro.
- O registro não lista versão corrigida.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.01004 (percentil 0.61991). Os campos SSVC do registro indicam exploração como none, automatizável como yes e impacto técnico como partial.
Correção e mitigação
- Nenhuma correção ou versão corrigida do fornecedor está listada no registro. A ausência de correção listada não confirma que ela não exista; verifique o projeto upstream e as referências para atualizações.
- Restrinja a exposição de rede do serviço DumbAssets, especialmente em instâncias acessíveis a partir de redes não confiáveis.
- O registro informa que a autenticação é opcional e desabilitada por padrão. Habilitar e exigir autenticação é uma inferência razoável para reduzir a exposição, mas sua eficácia contra este problema não é confirmada pelas fontes.
- Mantenha backups atuais e testados do diretório da aplicação e de sua configuração, para que arquivos excluídos possam ser restaurados.
- Execute a aplicação com uma conta que tenha apenas as permissões de sistema de arquivos mínimas necessárias à sua função.
Orientação de detecção
- Monitore os logs de acesso da aplicação em busca de requisições inesperadas ao endpoint de exclusão de arquivos, especialmente de origens desconhecidas.
- Gere alertas para exclusões inesperadas ou arquivos ausentes no diretório da aplicação, principalmente arquivos centrais como o script principal do servidor e o manifesto de pacotes.
- Verifique se a autenticação está habilitada em instâncias expostas à rede.
Limitações das informações disponíveis
- O registro não inclui versão corrigida, detalhes de correção do fornecedor nem um aviso detalhado do fornecedor além das referências de terceiros listadas.
- O pull request do GitHub está listado como acompanhamento de problemas; seu conteúdo não foi verificado para esta análise.
- O status da fonte no registro é Deferred, e o campo de data do EPSS é 2026-10-13, portanto os dados de pontuação podem mudar.
- Não se sabe se todas as configurações de implantação são afetadas.
Perguntas frequentes
Quais versões do DumbAssets são afetadas pela CVE-2026-45230?
O registro lista as versões 1.0.11 e anteriores do DumbWareio DumbAssets como afetadas. Nenhuma versão corrigida está listada no registro.
A CVE-2026-45230 é conhecida como explorada ativamente?
O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual é o principal risco desta vulnerabilidade?
O registro descreve a exclusão arbitrária de arquivos sem autenticação fora do diretório da aplicação, o que pode remover arquivos críticos e causar negação de serviço completa.
O que os administradores podem fazer agora?
Como nenhuma correção está listada, os administradores podem restringir a exposição de rede, considerar habilitar a autenticação, manter backups testados e limitar as permissões do sistema de arquivos da conta da aplicação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.