CVE-2026-50186

Nome do Software Vulnerável e Versões Afetadas 4gaBoards versões anteriores a 3.3.8

Description Um gerente de projeto autenticado pode utilizar sequências de travessia no parâmetro filename do endpoint 'GET /exports/:id/:filename'. No arquivo server/api/controllers/boards/download.js, o valor de inputs.filename é processado por path.join() sem a devida validação de contenção. Isso permite que um invasor utilize sequências como ../ para ler arquivos arbitrários acessíveis pelo processo do servidor. Além disso, o manipulador de fechamento do fileStream utiliza o mesmo caminho na função fs.unlink(), o que exclui o arquivo acessado, podendo causar perda de dados ou negação de serviço.

Recommendations Atualizar para a versão 3.3.8. Evite usar o parâmetro filename no endpoint 'GET /exports/:id/:filename' até que a atualização seja aplicada.