CVE-2026-40611highCWE-22

CVE-2026-40611: falha de alta gravidade em go-acme lego

Lego: Arbitrary File Write via Path Traversal in Webroot HTTP-01 Provider

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar lego+ Monitorar golang-github-xenolf-lego

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 0.4%
Let's Encrypt client and ACME library written in Go (Lego). Prior to 4.34.0, the webroot HTTP-01 challenge provider in lego is vulnerable to arbitrary file write and deletion via path traversal. A malicious ACME server can supply a crafted challenge token containing ../ sequences, causing lego to write attacker-influenced content to any path writable by the lego process. This vulnerability is fixed in 4.34.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
go-acme · lego
CVEs relacionadas — go-acme lego

No mesmo produto, das mais perigosas para as menos.

CVE-2025-54799LOWLego does not enforce HTTPSEPSS 0.2%