home / blog
2026-11-04 · critica
CVE-2026-21440: Path Traversal in AdonisJS
Path traversal in AdonisJS bodyparser permette arbitraria scrittura file su server.
Il CVE-2026-21440 è una vulnerabilità di path traversal nella gestione dei file multipart di @adonisjs/bodyparser, componente critica del framework AdonisJS (TypeScript-first web framework). La falla consente a un attaccante remoto non autenticato di scrivere file arbitrari in posizioni arbitrarie del filesystem del server, bypassando i vincoli di path normalmente previsti dal middleware di gestione degli upload.
Il CVSS è 9,2 (critical). Le versioni interessate sono @adonisjs/bodyparser ≤10.1.1 e le prerelease 11.x antecedenti alla 11.0.0-next.6. I maintainer hanno rilasciato patch il 2 gennaio 2026 (versioni 10.1.2 e 11.0.0-next.6), tuttavia la segnalazione di un laboratorio di riproduzione tecnico pubblico risale a oggi (4 novembre 2026), confermando che il vettore rimane operativo e documentato.
La difesa primaria è l'aggiornamento immediato a @adonisjs/bodyparser 10.1.2 o 11.0.0-next.6+. Per ambienti dove l'aggiornamento non è immediatamente possibile, controllare stringentemente il flusso di caricamento file, limitare estensioni e locazioni di destinazione, e validare percorsi con whitelist. Monitorare i log di accesso e di filesystem per rilevare tentativi di traversal (./, ../, path assoluti) nei parametri di upload.
In sintesi
- Cosa
- Path traversal in gestione multipart file di @adonisjs/bodyparser consente a attaccante remoto non autenticato di scrivere file arbitrari in location arbitrarie del filesystem del server
- Gravità
- CVSS 9,2 (critical secondo dichiarazione ufficiale)
- Versioni interessate
- @adonisjs/bodyparser versioni ≤10.1.1 e prerelease 11.x antecedenti a 11.0.0-next.6
- Correzione
- Aggiornare @adonisjs/bodyparser a versione 10.1.2, 11.0.0-next.6 o successive
- Stato
- Patch rilasciate il 2 gennaio 2026 dai maintainer. Segnale tecnico GitHub del 4 novembre 2026 segnala laboratorio di riproduzione pubblico disponibile, confermando operatività del vettore
- Azione
- Verificare urgentemente versioni di @adonisjs/bodyparser in ambiente; applicare patch senza ritardo; validare caricamenti con whitelist di percorsi; monitorare log per tentativi di traversal (../, ./, path assoluti)
Fonti: NVD, CVE-2026-21440