PT-2026-40444 · Elfinder · Elfinder

CVE-2026-44258 · Publicado 2026-05-12 · Atualizado 2026-05-14

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas efw4.X versões anteriores a 4.08.010

Descrição A função elfinder checkRisk() valida target e targets para travessia de caminho (path traversal) e contenção de diretório home, mas não valida o parâmetro dst usado por elfinder paste. Isso permite que um invasor copie ou mova arquivos do diretório home para qualquer destino arbitrário usando um caminho de travessia codificado em base64, ignorando o controle de segurança protected=true. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web.

Recomendações Atualizar para a versão 4.08.010.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-44258

GHSA-9G5W-QW96-JR3X

Produtos afetados

Elfinder

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44258.json · Exploit
• 🔥 https://github.com/efwGrp/efw4.X/security/advisories/GHSA-9g5w-qw96-jr3x · Exploit
• https://osv.dev/vulnerability/CVE-2026-44258 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44258 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054323996444025101 · Publicação no Twitter
• https://t.me/cveNotify/163444 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2054445496534540714 · Publicação no Twitter
• https://t.me/CVEtracker/53554 · Publicação no Telegram