CVE-2026-6057: Path traversal sem autenticação na API de upload do FalkorDB Browser

Visão geral

Segundo o registro, o FalkorDB Browser 1.9.3 contém uma vulnerabilidade de path traversal sem autenticação na API de upload de arquivos, classificada como CWE-22 (Path Traversal). O registro descreve atacantes remotos capazes de gravar arquivos arbitrários e alcançar execução remota de código.

Impacto

Segundo o registro, a falha permite gravação arbitrária de arquivos e execução remota de código.
O vetor CVSS 3.1 registrado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando acesso pela rede, baixa complexidade, ausência de privilégios exigidos, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
A pontuação base registrada é 9.8, classificada como Crítica.

Produtos e versões afetadas

A descrição cita o FalkorDB Browser 1.9.3.
O registro não contém uma lista estruturada de versões afetadas, por isso a faixa completa de versões impactadas é desconhecida.
O registro não lista versões corrigidas, o que não significa que não exista correção. A lista de referências inclui um pull request no repositório do FalkorDB Browser, cujo conteúdo o registro não descreve: Pull request 1611 do FalkorDB Browser.

Status de exploração

Segundo o registro, a vulnerabilidade não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS é 0.01159, com percentil de 0.66268, registrada com data de 2026-10-13. O EPSS estima a probabilidade de atividade de exploração e não confirma exploração.

Correção e mitigação

Identifique todas as implantações do FalkorDB Browser e confirme se a versão 1.9.3 ou outra versão potencialmente afetada está em uso.
Consulte o repositório e as notas de versão do projeto em busca de uma versão atualizada que trate o problema, e aplique-a após validação.
Enquanto não houver correção validada, restrinja o acesso de rede à interface do Browser, proteja-a com controles de autenticação na camada de rede e evite expor a funcionalidade de upload a redes não confiáveis.
Execute o serviço com o menor privilégio possível e restrinja permissões de escrita no sistema de arquivos sempre que viável, para limitar o impacto de gravações não autorizadas.

Orientações de detecção

Revise logs do servidor web e da aplicação em busca de requisições de upload inesperadas, especialmente de origens desconhecidas, e de arquivos com nomes ou locais incomuns.
Monitore o sistema de arquivos em busca de arquivos criados ou alterados fora dos diretórios esperados da aplicação.
Observe processos filhos inesperados ou conexões de saída incomuns a partir do host do Browser.

Limitações das informações disponíveis

O registro não informa a faixa de versões afetadas, a versão corrigida nem o escopo técnico do endpoint de upload.
O registro não afirma se o pull request referenciado corrige esta falha.
A fonte da pontuação CVSS e a data do EPSS são apresentadas como registradas e não foram verificadas de forma independente.
O registro está com status de origem Deferred.

Perguntas frequentes

A CVE-2026-6057 é explorada ativamente?

O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS é uma estimativa e não confirma exploração.

Quais versões estão corrigidas?

O registro não lista versões corrigidas. Ele cita um pull request no repositório do FalkorDB Browser, mas não informa se essa mudança corrige esta falha, então o status de correção deve ser verificado com o projeto.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.