Vaadin: Archivos ZIP especialmente diseñados pueden escapar del directorio de extracción previsto

Este fallo de path traversal permite a un atacante, si logra interceptar o controlar la descarga de Node.js (a través de DNS hijacking, un ataque MITM, un espejo comprometido o un ataque a la cadena de suministro), servir un archivo ZIP malicioso. Este archivo contiene secuencias de path traversal que permiten la escritura de archivos en ubicaciones arbitrarias del sistema de archivos. El impacto potencial incluye la modificación o eliminación de archivos críticos, la ejecución de código malicioso y el compromiso de la confidencialidad e integridad del sistema. La severidad es baja debido a la necesidad de controlar la descarga de Node.js, lo que requiere un ataque más sofisticado.

Organizations using Vaadin Flow Project in their web applications, particularly those relying on automated Node.js downloads during the build process, are at risk. Shared hosting environments where users have limited control over the build process are also particularly vulnerable.

• java / server:

find /path/to/vaadin/installation -name "flow-project*" -type d -print0 | xargs -0 grep -i 'path traversal'

• generic web:

curl -I <your_vaadin_application_url> | grep -i 'X-Content-Type-Options: nosniff'

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-02-19
2. Publicada2026-03-10
3. Modificada2026-03-14
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-2741 es actualizar a la versión 14.14.1 o superior de Vaadin Flow Project. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas medidas incluyen asegurar la integridad de las fuentes de descarga de Node.js, implementar un firewall de aplicaciones web (WAF) para filtrar solicitudes maliciosas y monitorear los registros del sistema en busca de actividad sospechosa. Verifique que la descarga de Node.js se realice desde una fuente confiable y que no haya sido alterada. Después de la actualización, confirme que el proceso de descarga y extracción de Node.js funciona correctamente y no permite la escritura de archivos fuera del directorio esperado.