PT-2026-45879 · Alf.Io · Alf.Io

Devnoscope

·

CVE-2026-35482

·

Publicado

2026-06-02

·

Atualizado

2026-07-07

CVSS v3.1

8.0

Alta

VetorAV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas alf.io versões anteriores a 2.0-M5-2606
Description Um problema de escape de sandbox existe no mecanismo de scripts de extensão do alf.io, um sistema de reserva de ingressos de código aberto. Um administrador autenticado pode executar comandos arbitrários do sistema operacional no servidor. O sistema utiliza um ambiente Rhino sandboxed para executar JavaScript restrito; no entanto, uma lista de bloqueio AST (Abstract Syntax Tree) incompleta e um objeto Java injetado não protegido returnClass permitem que o sandbox seja ignorado usando reflexão Java. Esta falha pode ser acionada através da Extensions API.
Recommendations Atualizar para a versão 2.0-M5-2606.

Exploit

Correção

RCE

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-35482
GHSA-3W8F-MCF6-CM7H

Produtos afetados

Alf.Io