Vaadin: Arquivos ZIP especialmente criados podem escapar do diretório de extração pretendido

A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute código arbitrário no servidor, potencialmente comprometendo a aplicação e os dados subjacentes. O atacante precisa ser capaz de interceptar ou controlar o download do Node.js, o que pode ser feito através de técnicas como DNS hijacking, ataques Man-in-the-Middle (MITM) ou comprometendo um espelho de download. Isso pode levar à modificação de arquivos de configuração, inserção de código malicioso ou até mesmo à execução remota de comandos. O impacto é ampliado se a aplicação Vaadin for utilizada em um ambiente de produção com dados sensíveis.

Organizations using Vaadin Flow Project in their web applications, particularly those relying on automated Node.js downloads during the build process, are at risk. Shared hosting environments where users have limited control over the build process are also particularly vulnerable.

• java / server:

find /path/to/vaadin/installation -name "flow-project*" -type d -print0 | xargs -0 grep -i 'path traversal'

• generic web:

curl -I <your_vaadin_application_url> | grep -i 'X-Content-Type-Options: nosniff'

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-02-19
2. Publicada2026-03-10
3. Modificada2026-03-14
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Vaadin Flow Project para a versão 14.14.1 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais. Verifique a integridade das fontes de download do Node.js para garantir que não foram comprometidas. Implemente regras em um Web Application Firewall (WAF) para bloquear solicitações que contenham sequências de path traversal suspeitas. Monitore os logs do servidor em busca de tentativas de escrita de arquivos fora do diretório de extração esperado. Após a atualização, confirme a correção verificando se o processo de build do Vaadin não permite mais a escrita de arquivos fora do diretório de extração.