CVE-2026-44257
O que é CVE-2026-44257?
efw4.X é um Enterprise Framework para Web. Antes da versão 4.08.010, efw.file.FileManager.unZip grava entradas zip no disco usando new File(baseDir, zipEntry.getName()) sem verificação de caminho canônico. Um nome de entrada como ../../../pwned.jsp escapa do diretório de extração pretendido e chega a qualquer lugar onde o processo Tomcat possa gravar — incluindo a raiz de contexto do servlet. Combinado com o multipart /uploadServlet da estrutura e um evento que chama file.saveUploadFiles + FileManager.unZip, um invasor remoto sem credenciais descarta um webshell JSP e executa comandos arbitrários como o usuário do Tomcat. Esta vulnerabilidade
Perguntas frequentes
CVE-2026-44257 tem uma pontuação CVSS de N/D/10, classificada como Desconhecido. Revise a lista de produtos afetados e aplique os patches do fornecedor.
O CVSS (Common Vulnerability Scoring System) avalia a gravidade das vulnerabilidades de 0,0 a 10,0. CVE-2026-44257 pontua N/D/10 (Desconhecido). Pontuações de 9,0–10,0 são Críticas, 7,0–8,9 Altas, 4,0–6,9 Médias e abaixo de 4,0 Baixas.
A lista de dispositivos confirmados como afetados por CVE-2026-44257 é mostrada na seção "Dispositivos afetados" acima. Compare sua versão de firmware com o aviso de segurança do fornecedor e aplique o último patch.
Aplique a última atualização de firmware ou software do fornecedor. Consulte a seção de Referências acima para avisos oficiais e notas de patch. Se nenhum patch estiver disponível, considere desativar o recurso afetado ou isolar o dispositivo de redes não confiáveis.