CVE-2026-22192: Voltronic Power SNMP Web Pro: bypass de autenticação via localStorage
A CVE-2026-22192 afeta o Voltronic Power SNMP Web Pro versão 1.1 e é descrita como um bypass de autenticação em que valores do localStorage do navegador podem ser alterados para acessar funções de gerenciamento privilegiadas. A CNA VulnCheck atribui pontuação 9.9, enquanto a NVD lista 5.4 para o mesmo produto. O registro não traz versão corrigida, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CNA VulnCheck descreve a CVE-2026-22192 como um bypass de autenticação no Voltronic Power SNMP Web Pro versão 1.1. Segundo o registro, o estado de autenticação mantido no localStorage do navegador pode ser alterado de modo que os controles de acesso do servidor deixem de bloquear o acesso às funções de gerenciamento. A fraqueza é classificada como CWE-306, ausência de autenticação para função crítica.
Impacto
- Confirmado pelo registro: um atacante não autenticado poderia acessar funcionalidades de gerenciamento privilegiadas sem credenciais válidas.
- Pontuações confirmadas: a pontuação CVSS base da VulnCheck é 9.9 e a pontuação CVSS base da NVD é 5.4.
- Inferência: a diferença entre as duas pontuações provavelmente reflete avaliações distintas de impacto ou de escopo, mas as fontes consultadas não explicam o motivo.
Produtos e versões afetados
- O Voltronic Power SNMP Web Pro versão 1.1 é o produto citado na descrição e a única versão da Voltronic listada no registro.
- O registro também lista o Gvectors Wpdiscuz anterior à 7.6.47 como produto afetado. Essa entrada não corresponde à descrição do Voltronic e parece ser uma inconsistência de dados, por isso não deve ser tratada como confirmada para esta CVE sem verificação junto à CNA.
- Nenhuma versão corrigida consta no registro. Isso é desconhecido e não significa que não exista correção.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. Os dados SSVC do registro marcam a exploração como none e a automação como no, e a probabilidade EPSS é 0.0028.
Correção e mitigação
- Consulte o fornecedor em voltronicpower.com para obter uma versão atualizada, pois o registro não traz detalhes de correção.
- Enquanto a correção não for confirmada, restrinja o acesso à interface de gerenciamento a redes administrativas confiáveis e coloque-a atrás de controles de acesso adicionais.
- Trate o estado mantido no navegador como não confiável. Confirme com o fornecedor se a autorização é aplicada no servidor na versão em uso.
- Leia o aviso da VulnCheck para a descrição da CNA.
Orientação para detecção
- Revise os logs da interface de gerenciamento em busca de requisições administrativas de origens inesperadas ou sem um evento de login correspondente.
- Monitore mudanças incomuns no estado de sessão do lado do cliente e ações administrativas sem sessão autenticada.
- Monte um inventário de equipamentos com a versão 1.1 para priorizar monitoramento e correção.
Limitações das informações disponíveis
O registro não identifica os endpoints afetados, os valores exatos do localStorage envolvidos nem um aviso do fornecedor. Nenhuma versão corrigida é listada. As pontuações da VulnCheck e da NVD diferem, e o registro contém uma entrada de produto afetado não relacionada. Esta análise não reproduz detalhes técnicos das referências citadas.
Perguntas frequentes
A CVE-2026-22192 está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O status deve ser reavaliado conforme surgirem novas informações.
Existe uma versão corrigida para essa vulnerabilidade?
O registro não lista versão corrigida. Isso é desconhecido e não comprova que não exista correção, por isso o fornecedor deve ser consultado sobre atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.