CVE-2026-49255

Nome do Software Vulnerável e Versões Afetadas electerm versões anteriores a 3.11.11

Description Ocorre a injeção de comandos nas operações de sistema de arquivos do aplicativo. O software constrói comandos do sistema operacional interpolando caminhos de arquivos não confiáveis nas funções rmrf(), mv() e cp() em src/app/lib/fs.js sem escapar adequadamente os metacaracteres do shell. Um servidor SSH ou SFTP malicioso pode fornecer nomes de arquivos contendo caracteres de aspas e metacaracteres de shell. Quando um usuário realiza transferências de remoto para local, renomeação em caso de conflito, cópia, movimentação ou remoção, esses nomes de arquivos são passados para as funções afetadas, permitindo que o shell interprete o nome do arquivo como sintaxe. Isso possibilita a execução de comandos arbitrários com os privilégios do usuário de desktop tanto em sistemas POSIX quanto Windows, podendo levar à exfiltração de dados, modificação de arquivos, instalação de malware ou negação de serviço.

Recommendations Atualize para a versão 3.11.11. Conecte-se apenas a servidores SSH/SFTP confiáveis. Evite transferências de arquivos de remoto para local a partir de fontes não confiáveis. Desative a opção de renomear em caso de conflito ao baixar pastas de servidores não confiáveis. Verifique manualmente os nomes dos arquivos antes de realizar operações de arquivo.