CVE-2026-40526

Nome do Software Vulnerável e Versões Afetadas Volmarg Personal Management System (versões afetadas não especificadas)

Descrição Atacantes autenticados podem ler arquivos arbitrários ao fornecer caminhos absolutos do sistema de arquivos para o endpoint 'GET /public/get-file/{path}'. Isso ocorre porque o parâmetro de rota path é passado diretamente para a função file get contents() sem canonicalização, que é o processo de converter um caminho para sua forma mais simples e padrão para evitar a evasão de verificações de segurança. Isso permite a recuperação de arquivos sensíveis acessíveis ao processo de trabalho do PHP-FPM sem a necessidade de sequências de travessia de diretório.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro path no endpoint 'GET /public/get-file/{path}' até que o problema seja resolvido.