PT-2026-34537 · Unknown · Xerte Online Toolkits

Bootstrapbool · Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-34415

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Xerte Online Toolkits versões 3.15 e anteriores

Description A validação incompleta de entrada no endpoint do conector elFinder falha ao bloquear extensões executáveis PHP, como .php4, devido a um padrão de regex incorreto. Atacantes não autenticados podem combinar essa falha com bypass de autenticação e path traversal para fazer o upload de código PHP malicioso, renomeá-lo com a extensão .php4 e executar comandos arbitrários do sistema operacional no servidor.

Recommendations Atualize para uma versão posterior à 3.15.

Exploit

Correção

RCE

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-34415

Produtos afetados

Xerte Online Toolkits

Referências · 13

• 🔥 https://github.com/bootstrapbool/xerteonlinetoolkits-rce · Exploit
• https://github.com/thexerteproject/xerteonlinetoolkits/commit/02661be88cc369325ea01b508086bde7fbfec805 · Correção
• https://github.com/thexerteproject/xerteonlinetoolkits/commit/507d55c5e91bf9310b5b1c7fad8aebfef902ad23 · Correção
• https://github.com/thexerteproject/xerteonlinetoolkits/issues/1527 · Nota
• https://github.com/thexerteproject/xerteonlinetoolkits/commit/17e4f945fe6a3400fa88c01eda18c1075ee4a212 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-34415 · Nota de Segurança
• https://xerte.org.uk/xertetoolkits_3.15_ChangeLog.html · Nota
• https://vulncheck.com/advisories/xerte-online-toolkits-file-upload-rce-via-elfinder-connector · Nota
• https://twitter.com/CVEnew/status/2047359965912838632 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2047026380861296909 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2047362010732470739 · Publicação no Twitter
• https://xerte.org.uk/index.php/en/downloads-1/category/3-xerte-online-toolkits · Nota
• https://twitter.com/OrizonCyber/status/2047035224484094198 · Publicação no Twitter