CVE-2026-9102: Path traversal no ComparisonService do Altium Enterprise Server
A CVE-2026-9102 é uma falha de path traversal no ComparisonService do Altium Enterprise Server, causada pela ausência de sanitização de nomes de arquivo nas APIs de upload de arquivos Gerber. Segundo o registro, um usuário autenticado do workspace pode gravar arquivos fora do diretório temporário de upload previsto, o que pode levar à execução de código ou à interrupção do serviço. O CNA classifica como crítica, com pontuação CVSS 4.0 de 9.4, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-9102 afeta o ComparisonService do Altium Enterprise Server. O registro atribui a falha à ausência de sanitização de nomes de arquivo nas APIs de upload de arquivos Gerber, classificada como CWE-22 (Path Traversal).
Impacto
Segundo a descrição do registro, um usuário autenticado do workspace pode usar um nome de arquivo elaborado em um upload multipart para gravar arquivos fora do diretório temporário de upload.
- Arquivos podem ser gravados em locais arbitrários do sistema de arquivos do servidor.
- A descrição afirma que arquivos controlados pelo conteúdo, colocados em diretórios acessíveis via web, podem levar à execução remota de código no contexto da conta de serviço.
- A sobrescrita de binários da aplicação ou de arquivos de configuração pode levar à tomada do serviço ou à negação de serviço.
Produtos e versões afetadas
O registro não lista nenhuma versão afetada. O produto é indicado como Altium Enterprise Server, componente ComparisonService. Os intervalos de versão devem ser confirmados com o fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS do registro é 0,00799, com percentil de 0,55412.
Correção e mitigação
- Consulte a página de avisos de segurança da Altium para orientações e atualizações do fornecedor. O registro não identifica uma versão corrigida.
- Restrinja quais contas podem usar a funcionalidade de upload Gerber até que as orientações do fornecedor sejam analisadas.
- Execute a conta de serviço com o menor privilégio necessário e limite o acesso de escrita a binários, configurações e diretórios acessíveis via web.
- Isole o servidor de redes não confiáveis, quando operacionalmente viável.
Orientações de detecção
- Monitore o surgimento de arquivos fora do diretório temporário de upload esperado, especialmente em caminhos acessíveis via web.
- Use monitoramento de integridade de arquivos nos binários e configurações da aplicação.
- Revise os logs da aplicação e do servidor web em busca de requisições de upload de contas inesperadas ou com tratamento anômalo de arquivos.
Limitações das informações disponíveis
O registro não traz versões afetadas, versões corrigidas, status de correção nem detalhes de exploração confirmados pelo fornecedor. A pontuação CVSS 4.0 de 9.4 foi fornecida pelo CNA. Os desfechos de execução remota de código e tomada do serviço são descritos como possibilidades no registro, não como resultados demonstrados. A data do EPSS no registro é 2026-10-13.
Perguntas frequentes
O que é a CVE-2026-9102?
É uma vulnerabilidade de path traversal no ComparisonService do Altium Enterprise Server, causada pela falta de sanitização de nomes de arquivo nas APIs de upload de arquivos Gerber.
Há exploração confirmada desta vulnerabilidade?
Segundo o registro, a CVE não está no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.