CVE-2026-40521

Nome do Software Vulnerável e Versões Afetadas FrontAccounting versões anteriores a 2.4.20

Descrição Um problema de path traversal existe no manipulador de upload de anexos. Atacantes autenticados podem executar código arbitrário ao fazer o upload de arquivos usando sequências de travessia no parâmetro unique name. Ao fornecer sequências como ../../../shell.php, um atacante pode gravar arquivos fora do diretório de anexos designado e dentro da raiz web. Como o sistema carece de validação de extensão para arquivos PHP carregados, isso permite a execução remota de código como o usuário do servidor web.

Recomendações Atualize para a versão 2.4.20 ou posterior.