CVE-2026-42552

Nome do Software Vulnerável e Versões Afetadas Flight versões anteriores a 3.18.1

Description O manipulador de erros padrão Engine:: error() escreve a mensagem completa da exceção, o código da exceção e o rastreamento da pilha (stack trace), incluindo caminhos absolutos do sistema de arquivos, diretamente na resposta HTTP 500, sem qualquer controle de depuração. Isso leva à exposição de caminhos internos, segredos interpolados em mensagens de exceção e a estrutura completa de módulos. Essas informações podem ser usadas para facilitar outros ataques, como Inclusão de Arquivo Local (LFI) ou travessia de diretório (path traversal).

Recommendations Atualize para a versão 3.18.1. Como medida paliativa temporária, restrinja o acesso à função Engine:: error() ou implemente um tratamento de erros personalizado para evitar a exibição de informações detalhadas em ambientes de produção.