CVE-2026-5166: Path Traversal no Pardus Software Center da TUBITAK BILGEM
A CVE-2026-5166 é uma falha de travessia de diretório (CWE-22) no Pardus Software Center, desenvolvido pela TUBITAK BILGEM, que afeta versões anteriores à 0.6.4. A pontuação CVSS 3.1 informada pelo CNA é 9.6 (crítica), e o registro não indica uma versão corrigida. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
Foi reportada uma falha de travessia de diretório (CWE-22) no Pardus Software Center, desenvolvido pela TUBITAK BILGEM. Segundo o registro, as versões anteriores à 0.6.4 são afetadas. A CVE foi publicada em 29/04/2026 pelo CNA TR-CERT.
Impacto
A pontuação base CVSS 3.1 informada pelo CNA é 9.6 (crítica). O vetor descreve acesso pela rede, baixa complexidade, nenhum privilégio exigido, necessidade de interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. Falhas de travessia de diretório normalmente permitem acessar arquivos fora do diretório pretendido, mas as fontes consultadas não descrevem o trecho de código específico, portanto o efeito real depende de como o componente trata os caminhos de arquivo.
Produtos e versões afetadas
- Pardus Software Center da TUBITAK BILGEM (Instituto de Pesquisa em Tecnologias de Software): versões anteriores à 0.6.4.
- O registro não informa versão corrigida. A faixa afetada sugere que a 0.6.4 é a primeira versão fora dela, mas isso deve ser confirmado com o fornecedor ou com os avisos oficiais.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA. Os dados SSVC do registro indicam exploração como nenhuma e automação como não. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Mapeie todas as instalações do Pardus Software Center e registre suas versões.
- Priorize a atualização para a 0.6.4 ou superior, seguindo as orientações dos avisos oficiais.
- Até que a atualização seja aplicada, restrinja o acesso ao software center a usuários e redes confiáveis e limite as permissões de arquivo da conta de serviço ao mínimo necessário.
Orientação para detecção
- Revise logs de aplicação e do sistema em busca de operações de arquivo que façam referência a caminhos fora dos diretórios esperados da aplicação.
- Monitore o processo do software center para leituras ou gravações de arquivos incomuns.
Limitações das informações disponíveis
- O registro não identifica componentes, endpoints vulneráveis nem uma versão corrigida específica.
- O aviso do USOM está marcado como link quebrado no registro. O aviso do Siber Güvenlik também é citado.
- O valor EPSS é uma probabilidade e percentil modelados, não uma evidência de exploração.
Perguntas frequentes
O que é a CVE-2026-5166?
É uma vulnerabilidade de travessia de diretório (CWE-22) no Pardus Software Center da TUBITAK BILGEM. O registro indica que as versões anteriores à 0.6.4 são afetadas.
Qual é a gravidade?
A pontuação base CVSS 3.1 informada pelo CNA é 9.6, classificada como crítica. O registro não descreve o trecho técnico exato, então o efeito real não está totalmente confirmado.
Há exploração ativa?
A CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
O que administradores devem fazer?
Mapear as instalações, priorizar a atualização para a versão 0.6.4 ou superior conforme o aviso oficial e restringir o acesso ao software center até que a atualização seja aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.