CVE-2026-7182: Path traversal no módulo de exportação do Diagram na geração de PDF

Visão geral

A CVE-2026-7182 é uma fraqueza de path traversal (CWE-22) no módulo de exportação do Diagram. Segundo o registro, o módulo não sanitiza HTML antes de processar o atributo src, o que pode fazer com que arquivos locais do servidor sejam exibidos no PDF gerado. O registro foi publicado em 15/05/2026 pela CERT Polska (cvd@cert.pl) e seu status na fonte é Awaiting Analysis.

Impacto

A descrição informa que arquivos locais do servidor podem ser incluídos no PDF gerado, o que pode expor dados armazenados no host.
A descrição informa que um usuário não autenticado poderia acionar essa condição.
A CERT Polska atribuiu nota 9.2 no CVSS 4.0, com severidade crítica. O vetor indica alto impacto na confidencialidade do sistema vulnerável e ausência de impacto na integridade e disponibilidade ali.
Não é possível saber, pelo registro, quais arquivos ou categorias de dados seriam expostos.

Produtos e versões afetadas

O registro não traz uma lista estruturada de produtos ou versões afetadas.
A descrição menciona o módulo de exportação do Diagram. As referências apontam para a documentação do dhtmlx Diagram, o que sugere o produto dhtmlxDiagram. Essa ligação é uma inferência.
A descrição informa que o problema foi corrigido na versão 1.1.1. A faixa de versões vulneráveis anteriores é desconhecida pelo registro.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O registro traz probabilidade EPSS de 0,00546 e percentil de 0,44253, datados de 13/10/2026.

Correção e mitigação

Atualize o componente de exportação do Diagram para a versão 1.1.1 ou superior, conforme informado na descrição. Confirme a build exata corrigida na documentação do fornecedor antes da implantação.
Se a atualização imediata não for possível, restrinja o acesso ao recurso de exportação a usuários confiáveis e verifique se ele está exposto a requisições não autenticadas.
Aplique o princípio do menor privilégio à conta de serviço que gera os PDFs, para que ela leia apenas os diretórios necessários.
Se o recurso esteve exposto, revise os PDFs já gerados em busca de conteúdo inesperado do servidor.

Orientações de detecção

Monitore requisições de exportação vindas de origens não autenticadas, com tamanhos de carga incomuns ou com referências HTML a caminhos fora dos locais esperados.
Revise os logs da aplicação em busca de operações de exportação que citem caminhos locais.
Considere gerar alertas quando documentos gerados contiverem conteúdo incompatível com os dados esperados do relatório.

Limitações das informações disponíveis

O registro não tem título, lista de versões afetadas nem lista de versões corrigidas além da afirmação da descrição.
O nome do produto não aparece explicitamente na descrição.
Os tipos de arquivo expostos e o escopo completo do impacto não são descritos.
Nenhum aviso do fornecedor foi incluído no registro além dos links listados nas referências.

Perguntas frequentes

O que é a CVE-2026-7182?

É uma fraqueza de path traversal (CWE-22) no módulo de exportação do Diagram. A falta de sanitização do atributo src pode permitir que arquivos locais do servidor apareçam em PDFs gerados.

Qual versão corrige o problema?

A descrição informa que o problema foi corrigido na versão 1.1.1. O registro não traz uma lista estruturada de versões afetadas, então consulte a documentação do fornecedor para detalhes.

Há exploração ativa?

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.