CVE-2026-100520

Nome do Software Vulnerável e Versões Afetadas Laranode versões anteriores a 1.2.1

Description Usuários autenticados podem realizar um ataque de path traversal através do endpoint 'POST /filemanager/upload-file'. Ao fornecer sequências de travessia de diretório no parâmetro path, um invasor pode gravar arquivos arbitrários, como arquivos PHP, fora de seu diretório home designado e nas raízes web de outros inquilinos, levando à execução remota de código nos contextos desses inquilinos.

Recommendations Atualize o Laranode para a versão 1.2.1 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /filemanager/upload-file' ou evite usar o parâmetro path até que a atualização seja aplicada.