CVE-2026-44257
KrytyczneStreszczenie
W efw4.X przed wersją 4.08.010, metoda efw.file.FileManager.unZip nie sprawdzała ścieżki kanonicznej przy zapisywaniu wpisów zip na dysku, co pozwalało na wyjście poza zamierzony katalog. Atakujący mógł wykorzystać tę lukę do umieszczenia złośliwego pliku JSP i wykonywania dowolnych poleceń jako użytkownik Tomcat.
Ocena ryzyka
Organizacja jest narażona na zdalne ataki, które mogą prowadzić do przejęcia kontroli nad serwerem aplikacyjnym, co skutkuje poważnymi konsekwencjami dla bezpieczeństwa danych i infrastruktury.
Rekomendacja
Zaleca się aktualizację do wersji 4.08.010 lub nowszej, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w efw4.X
Zobacz wszystkie- CVE-2026-44260Wysokie
W wersjach przed 4.08.010 frameworka efw4.X, flaga readonly ustawiona na tagu JSP <efw:elFinder> miała na celu zapobieganie modyfikacjom plików. Mimo to, brak odpowiednich kontrolerów zdarzeń pozwala atakującym na wykonywanie operacji zapisu, omijając interfejs użytkownika.
- CVE-2026-44258Krytyczne
W wersjach przed 4.08.010, funkcja elfinder_checkRisk w efw4.X nie weryfikuje parametru dst używanego przez elfinder_paste, co pozwala atakującemu na kopiowanie lub przenoszenie plików z katalogu domowego do dowolnej lokalizacji poprzez ustawienie dst na zakodowaną w base64 ścieżkę przejścia.
Oryginalny opis (angielski, źródło NVD)
efw4.X is an Enterprise Framework for Web. Prior to 4.08.010, efw.file.FileManager.unZip writes zip entries to disk using new File(baseDir, zipEntry.getName()) with no canonical-path check. An entry name such as ../../../pwned.jsp escapes the intended extraction directory and lands anywhere the Tomcat process can write — including the servlet context root. Combined with the framework's multipart /uploadServlet and an event that calls file.saveUploadFiles + FileManager.unZip, a remote attacker with no credentials drops a JSP webshell and executes arbitrary commands as the Tomcat user. This vulnerability is fixed in 4.08.010.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS