Zoraxy: Path Traversal Autenticado na Importação de Configuração leva a RCE

Um atacante autenticado pode explorar esta vulnerabilidade para escrever arquivos em locais arbitrários no sistema de arquivos, contornando as restrições de diretório. Ao criar um plugin malicioso e colocá-lo em um local acessível, o atacante pode executar código arbitrário com os privilégios do processo Zoraxy. Isso pode resultar em comprometimento completo do sistema, roubo de dados sensíveis ou instalação de malware. A exploração bem-sucedida depende do atacante ter credenciais válidas para autenticar no sistema Zoraxy.

Organizations utilizing Zoraxy for configuration management, particularly those with custom plugins or integrations, are at risk. Shared hosting environments where multiple users have authenticated access to the Zoraxy instance are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.

• linux / server:

find /opt/zoraxy/config -type f -name '*passwd*'

• linux / server:

journalctl -u zoraxy -g "path traversal"

• generic web:

curl -I http://your-zoraxy-instance/api/conf/import | grep -i 'content-type: multipart/form-data'

1. 2026-03-25Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-03-25
3. Modificada2026-03-27
4. EPSS atualizado2026-04-03

A mitigação primária é atualizar o Zoraxy para a versão 3.3.2 ou superior, que corrige a vulnerabilidade de travessia de caminho. Se a atualização imediata não for possível, considere restringir o acesso ao endpoint /api/conf/import apenas a usuários confiáveis. Implementar controles de validação de entrada mais rigorosos para garantir que os nomes dos arquivos importados não contenham sequências de travessia de caminho (como ../). Monitore os logs do sistema em busca de tentativas de escrita de arquivos em locais inesperados.