CVE-2026-48700: PCManFM-Qt: delegação insegura de URIs de arquivos via D-Bus ShowFolders

Visão geral

A CVE-2026-48700 é classificada como CWE-913 (Controle Impróprio de Recursos de Código Gerenciados Dinamicamente) no LXQt PCManFM-Qt. Segundo o registro, um caminho de arquivo regular fornecido como URI em uma chamada D-Bus org.freedesktop.FileManager1.ShowFolders é repassado a outro programa escolhido pelo tipo do arquivo, sem confirmação do usuário. A MITRE atua como CNA, o registro foi publicado em 2026-05-22 e seu status é Deferred.

Impacto

O registro afirma que o problema poderia ser usado para obter execução de código.
O registro afirma que o problema poderia ser usado para contornar restrições de network namespace.
A MITRE atribui pontuação 9.3 pelo CVSS 4.0, com vetor que indica vetor de ataque local, privilégios baixos exigidos, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro indicam impacto técnico total, exploração como none e automatizável como no.

Produtos e versões afetadas

Produto: LXQt PCManFM-Qt.
A descrição narrativa cita todas as versões a partir da 1.1.0. A faixa estruturada vai de 1.1.0 até 2.4.0, inclusive.
O registro não lista versões corrigidas.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro. O registro informa probabilidade EPSS de 0.0017, com percentil de 0.0588. Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Consulte a página de releases do projeto upstream listada nas referências e atualize para uma versão que os mantenedores confirmem como corrigida. O registro não identifica uma.
Enquanto não houver correção confirmada, verifique se o PCManFM-Qt está instalado e se sua interface D-Bus de gerenciador de arquivos pode ser acessada por processos locais não confiáveis.
Revise os manipuladores padrão por tipo de arquivo no ambiente de desktop, pois o registro indica que a delegação depende do tipo.
O registro alerta que uma correção simplista pode afetar I/O; teste qualquer alteração de configuração antes de implantação ampla.

Orientações para detecção

Monitore aplicações iniciadas pelo processo do gerenciador de arquivos em resposta a pedidos de abertura de arquivos que não tenham sido iniciados pelo usuário.
Analise a telemetria de endpoints em busca de processos filhos inesperados gerados pelo PCManFM-Qt.
Trate esses sinais apenas como indicativos. O registro não descreve indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não fornece versão corrigida, commit de correção nem texto de aviso do fornecedor.
A descrição narrativa diz que todas as versões a partir da 1.1.0 são afetadas, enquanto a faixa estruturada termina em 2.4.0. O registro não explica esse limite superior.
O registro observa que o comportamento está em conformidade com a especificação aplicável, o que torna discutível se é um defeito.
O campo de título estava vazio no registro. O título usado aqui foi derivado da descrição.

Perguntas frequentes

Quais produtos a CVE-2026-48700 afeta?

Segundo o registro, ela afeta o LXQt PCManFM-Qt. A faixa estruturada vai de 1.1.0 até 2.4.0, enquanto a descrição narrativa cita todas as versões a partir da 1.1.0.

Esta vulnerabilidade está sendo explorada ativamente?

Ela não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas. O registro informa probabilidade EPSS de 0.0017.

Existe uma versão corrigida?

O registro não lista nenhuma versão corrigida. Consulte a página de releases do projeto upstream e aplique apenas uma versão que os mantenedores confirmem como corrigida.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.