Plataforma
java
Componente
easegen-admin
Corregido en
8.0.1
Se ha identificado una vulnerabilidad de Path Traversal en easegen-admin, versiones hasta 8f87936ac774065b92fb20aab55b274a6ea76433. Esta vulnerabilidad, presente en la función recognizeMarkdown del archivo yudao-module-digitalcourse/yudao-module-digitalcourse-biz/src/main/java/cn/iocoder/yudao/module/digitalcourse/util/Pdf2MdUtil.java, permite a un atacante acceder a archivos fuera del directorio previsto mediante la manipulación del argumento fileUrl. El exploit es público y podría ser utilizado, lo que representa un riesgo significativo para los sistemas afectados. Se recomienda actualizar a la última versión disponible.
La vulnerabilidad de Path Traversal en easegen-admin permite a un atacante remoto acceder a archivos sensibles en el servidor. Al manipular el parámetro fileUrl en la función recognizeMarkdown, un atacante puede eludir los controles de acceso y leer archivos arbitrarios en el sistema de archivos. Esto podría incluir información confidencial como contraseñas, claves de API, datos de usuarios o código fuente. La disponibilidad de un Proof of Concept (PoC) público aumenta significativamente el riesgo de explotación, ya que facilita la tarea de los atacantes. La exposición de estos datos podría resultar en robo de información, compromiso de la integridad del sistema o incluso ejecución remota de código, dependiendo de los permisos del usuario bajo el cual se ejecuta la aplicación.
La vulnerabilidad CVE-2026-4285 se ha hecho pública el 16 de marzo de 2026, y la existencia de un Proof of Concept (PoC) disponible indica una alta probabilidad de explotación. Aunque la CVSS score es LOW (2.7), la facilidad de explotación y la disponibilidad del PoC aumentan el riesgo. No se ha confirmado la explotación activa en campañas conocidas, pero la vulnerabilidad está en el radar de los equipos de seguridad. Se recomienda monitorear activamente los sistemas afectados para detectar cualquier actividad sospechosa.
Estado del Exploit
EPSS
0.07% (21% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-4285 es actualizar easegen-admin a la última versión disponible, ya que el producto utiliza un modelo de 'rolling releases' para proporcionar actualizaciones continuas. Si la actualización inmediata no es posible debido a problemas de compatibilidad, se recomienda implementar medidas de seguridad adicionales. Estas medidas pueden incluir la configuración de un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten explotar la vulnerabilidad, o la implementación de reglas de proxy para filtrar el tráfico entrante. Además, se recomienda revisar y endurecer la configuración del servidor para limitar el acceso a los archivos sensibles. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las solicitudes de path traversal ahora son bloqueadas o redirigidas.
Actualizar a una versión parcheada que corrija la vulnerabilidad de path traversal en la función recognizeMarkdown de Pdf2MdUtil.java. Contacte al proveedor para obtener una versión corregida o implemente una validación adecuada de la entrada fileUrl para evitar el acceso a archivos fuera del directorio esperado.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-4285 is a Path Traversal vulnerability affecting taoofagi easegen-admin versions up to 8f87936ac774065b92fb20aab55b274a6ea76433. It allows attackers to access unauthorized files on the server.
You are affected if you are using taoofagi easegen-admin versions prior to a fix being released. Check your version against the affected range: ≤8f87936ac774065b92fb20aab55b274a6ea76433.
Upgrade to the latest version when available. Until then, implement input validation, restrict file access, and consider using a WAF.
Yes, a public exploit is already available, indicating a high likelihood of active exploitation.
Refer to the taoofagi website and security advisories for updates on the vulnerability and available fixes. Monitor their release channels for announcements.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo pom.xml y te decimos al instante si estás afectado.