CVE-2026-55224

Nome do Software Vulnerável e Versões Afetadas MineAdmin versões anteriores a 3.2.0-alpha.2

Description O serviço de plugin app-store não sanitiza a variável identifier antes de concatená-la em caminhos do sistema de arquivos. Isso permite que um invasor use sequências de path traversal, como ../, para ler, instalar ou desinstalar plugins de diretórios arbitrários. Este problema ocorre nas funções download(), install() e unInstall() no arquivo plugin/mine-admin/app-store/src/Service/Service.php. Além disso, a função install() pode executar comandos composer arbitrários nos diretórios afetados. Os endpoints de API afetados incluem /admin/plugin/store/install, /admin/plugin/store/download e /admin/plugin/store/uninstall.

Recommendations Atualize para a versão 3.2.0-alpha.2. Como mitigação temporária, restrinja o acesso ao parâmetro identifier no serviço de plugin app-store, implementando uma validação rigorosa para rejeitar sequências de path traversal.