CVE-2026-58467

Nome do Software Vulnerável e Versões Afetadas Cockpit CMS versões anteriores a 364

Description Atacantes não autenticados podem ler arquivos arbitrários ou executar arquivos PHP devido a um problema de path traversal e local file inclusion. A aplicação falha ao realizar verificações de contenção ao construir caminhos de sistema de arquivos usando PATH INFO não validado derivado do REQUEST URI. Ao injetar sequências dot-dot na URL, um atacante pode navegar fora do diretório de espaços designado. Se o caminho resolvido terminar com a extensão .php, a aplicação o passa para a função include(), permitindo a inclusão de arquivos locais em implantações que utilizam o servidor integrado do PHP ou configurações específicas não padrão do Nginx.

Recommendations Atualize o Cockpit CMS para a versão 364 ou posterior.