PT-2026-45881 · Alf.Io · Alf.Io

Et43

·

Publicado

2026-06-02

·

Atualizado

2026-06-03

·

CVE-2026-41412

CVSS v3.1

4.9

Média

VetorAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas alf.io versões anteriores a 2.0-M5-2606
Descrição O sandbox de extensões injeta um cliente HTTP totalmente funcional (simpleHttpClient) no escopo de cada script de extensão. O método postFileAndSaveResponse() aceita um caminho de sistema de arquivos arbitrário através do parâmetro file e lê o conteúdo do arquivo usando new FileInputStream(file) sem validação de caminho, restrição de diretório ou lista de permissões. Isso permite que um script de extensão malicioso leia qualquer arquivo acessível ao usuário do processo JVM e exfiltre os dados para um servidor externo via HTTP POST.
Recomendações Atualize para a versão 2.0-M5-2606.

Exploit

Correção

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-22CWE-73

Identificadores relacionados

CVE-2026-41412

Produtos afetados

Alf.Io