CVE-2026-7411: Path traversal na API de Submodel do Eclipse BaSyx Java Server SDK

Visão geral

A CVE-2026-7411 afeta a API HTTP de Submodel do Eclipse BaSyx Java Server SDK. O CNA descreve uma normalização inadequada de caminhos durante o upload de arquivos, na qual o parâmetro fileName pode direcionar a gravação para fora do diretório de armazenamento previsto. A falha é classificada como CWE-22 (Path Traversal).

Impacto

Segundo o CNA, um atacante remoto não autenticado poderia gravar arquivos arbitrários em qualquer local do host acessível ao processo Java. O registro indica que isso pode levar à execução remota de código e ao comprometimento completo do sistema. O vetor CVSS 3.1 informado pelo CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com pontuação base de 10.

Confidencialidade, integridade e disponibilidade aparecem como altas no vetor.
O vetor indica que não há necessidade de autenticação nem de interação do usuário.
O escopo é alterado, o que sugere que o impacto pode ultrapassar o componente vulnerável.

Produtos e versões afetadas

O registro descreve versões anteriores à 2.0.0-milestone-10 do Eclipse BaSyx Java Server SDK. A lista estruturada de versões afetadas está vazia, por isso os intervalos exatos devem ser confirmados com o fornecedor e com as referências de segurança da Eclipse.

Status de exploração

A CVE não consta no catálogo KEV da CISA nos dados consultados. Nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS registrada é de 0.0152, com percentil de 0.73929, o que é uma métrica estatística e não evidência de exploração.

Correção e mitigação

Identifique todas as implantações do Eclipse BaSyx Java Server SDK e verifique se alguma usa versão anterior à 2.0.0-milestone-10.
Planeje a atualização para a 2.0.0-milestone-10 ou versão posterior e confirme a versão junto ao fornecedor, pois o registro não informa uma versão corrigida.
Enquanto não houver correção, restrinja o acesso de rede à API de Submodel a clientes confiáveis e, quando possível, coloque-a atrás de um gateway que exija autenticação.
Execute o processo Java com o menor privilégio de sistema de arquivos necessário, limitando as gravações aos diretórios indispensáveis.

Orientações de detecção

Revise logs da aplicação e do servidor web em busca de requisições de upload para a API de Submodel com nomes de arquivo incomuns ou inesperados, inclusive sequências que naveguem entre diretórios.
Monitore a criação de arquivos fora do caminho de armazenamento esperado do serviço.
Gere alertas para processos filhos inesperados ou alterações de configuração originadas da conta de serviço do Java.

Limitações das informações disponíveis

O registro não possui entradas de versões afetadas ou corrigidas, dados SSVC nem detalhes do KEV. O status da fonte é Awaiting Analysis. O limite de versão corrigida é inferido a partir da redação do intervalo afetado e deve ser validado com o aviso do fornecedor e com as issues de acompanhamento da Eclipse.

Perguntas frequentes

A CVE-2026-7411 é conhecida por ser explorada ativamente?

A CVE não consta no catálogo KEV da CISA nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas pela CVE-2026-7411?

O registro descreve versões anteriores à 2.0.0-milestone-10 do Eclipse BaSyx Java Server SDK, mas a lista estruturada de versões afetadas está vazia e deve ser confirmada com o fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.