Existe uma vulnerabilidade transversal de caminho nos manipuladores de download de arquivos Zmodem e Trzsz no electorm. Ao receber arquivos através de protocolos Zmodem ou Trzsz, o electerm usa o nome de arquivo fornecido remotamente diretamente no `path. join()` com o diretório de download selecionado pelo usuário sem desinfectação. Um servidor SSH malicioso ou processo de shell remoto pode enviar um nome de arquivo especialmente criado como `../escaped.txt` para escapar do diretório de download selecionado pelo usuário e escrever arquivos para locais arbitrários no sistema de arquivos do usuário, sujeito a permissões de processo. ** Escenario de ataque:** 1. O usuário conecta-se a um servidor SSH malicioso 2. O atacante inicia uma transferência de arquivos Zmodem ou Trzsz 3. O atacante fornece um nome de arquivo transversal (por exemplo, `../../.bashrc`, `../escaped.txt`) 4. O usuário aceita a transferência e seleciona uma pasta de download 5. O arquivo é escrito fora do diretório selecionado, potencialmente sobreescrevendo arquivos sensíveis.
**Componentes afetados:** - `src/ app/ server/zmodem.js` - `prepareReceiveFile()` na linha 736 - ` src/ app/ server/trzsz.js` - `getUniqueFilePath()` na linha 559, `openSaveFile()` callback, e `savedFilePaths` mapeamento - 153 d 677 a 170 c 5816368 f 6586647 f 3 af 4 ef 284 Se a atualização não for imediatamente possível, os usuários podem mitigar esta vulnerabilidade por: 1. Apenas conectando-se a servidores SSH confiáveis 2. Rejeitar ou cancelar quaisquer transferências de arquivos Zmodem ou Trzsz vindos de fontes não confiáveis 3. Evitando o uso de comandos Zmodem (`sz`/`rz`) e Trzsz (`trz`/`tsz`) em servidores não confiáveis.
Registro de aconselhamento: GHSA- 38 j 7 - 23 HF- 9 MHC. Identificadores relacionados: CVE- 2026 - 49253. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 19: 20: 20.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 19: 20: 20.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L.
Informações sobre software e versão afetadas: elector de pacote npm — ECOSISTEM: introduzido 0, corrigido 3.11.11. Classificação e evidência: identificadores de fraqueza CWE- 22. O registro contém 3 suporte de referências nestes tipos: WEB, PACKAGE.