CVE-2026-40611

Name of the Vulnerable Software and Affected Versions Lego versões anteriores a 4.34.0

Description O provedor de desafio HTTP-01 webroot no Lego está sujeito a gravação e exclusão arbitrária de arquivos via path traversal. Um servidor ACME malicioso pode fornecer um token de desafio manipulado contendo sequências ../, que a função ChallengePath() concatena sem validação. Isso permite que o servidor influencie o caminho do arquivo, fazendo com que o software grave ou exclua conteúdo em qualquer local gravável pelo processo do Lego. O problema ocorre porque o software não impõe a restrição do alfabeto base64url para tokens ACME, conforme especificado na RFC 8555. A lógica vulnerável está presente na função ChallengePath() e na função CleanUp().

Recommendations Atualizar para a versão 4.34.0.