CVE-2026-2741: Path Traversal in Vaadin Flow Project

Un attaquant exploitant cette vulnérabilité peut potentiellement compromettre le système en écrivant des fichiers arbitraires en dehors du répertoire d'extraction prévu. Cela pourrait inclure la modification de fichiers de configuration, l'exécution de code malveillant ou la compromission de données sensibles. Le vecteur d'attaque repose sur la capacité de l'attaquant à contrôler le téléchargement de Node.js, par exemple via une attaque de type "man-in-the-middle", une compromission du serveur de miroir ou une attaque sur la chaîne d'approvisionnement. La gravité de l'impact dépendra des privilèges de l'utilisateur exécutant le processus de construction et de la sensibilité des données stockées sur le système.

Organizations using Vaadin Flow Project in their web applications, particularly those relying on automated Node.js downloads during the build process, are at risk. Shared hosting environments where users have limited control over the build process are also particularly vulnerable.

• java / server:

find /path/to/vaadin/installation -name "flow-project*" -type d -print0 | xargs -0 grep -i 'path traversal'

• generic web:

curl -I <your_vaadin_application_url> | grep -i 'X-Content-Type-Options: nosniff'

1. 2026-03-10Disclosure

   disclosure

1. Réservé2026-02-19
2. Publiée2026-03-10
3. Modifiée2026-03-14
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le projet Vaadin Flow vers la version 14.14.1 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de renforcer la sécurité du processus de téléchargement de Node.js. Cela peut inclure la validation de l'intégrité des fichiers téléchargés, l'utilisation de sources de téléchargement fiables et la mise en place de restrictions d'accès au répertoire d'extraction. En cas de rollback vers une version antérieure, assurez-vous de désactiver le téléchargement automatique de Node.js et de l'installer manuellement à partir d'une source fiable. Après la mise à jour, vérifiez l'intégrité du système et assurez-vous que les fichiers critiques n'ont pas été modifiés.