CVE-2026-22234: OPEXUS eCasePortal: IDOR sem autenticação em Attachments.aspx
As versões do OPEXUS eCasePortal anteriores à 9.0.45.0 são afetadas por uma referência direta a objeto insegura (CWE-639) que, segundo o registro, pode ser alcançada sem autenticação. De acordo com o registro, um atacante poderia acessar, excluir ou enviar arquivos de usuários pelo endpoint Attachments.aspx. Não há exploração confirmada nas fontes consultadas, e o registro não lista entradas de correção.
Visão geral
O OPEXUS eCasePortal anterior à versão 9.0.45.0 apresenta uma referência direta a objeto insegura (IDOR), classificada como CWE-639 (Bypass de autorização por chave controlada pelo usuário). O registro indica que a falha é alcançável pelo endpoint Attachments.aspx, depende de identificadores previsíveis e não exige autenticação.
Impacto
- Confidencialidade: o registro indica que todos os arquivos enviados pelos usuários poderiam ser baixados.
- Integridade: o registro indica que arquivos poderiam ser excluídos ou novos arquivos enviados.
- Pontuações: o registro da CNA CISA mostra CVSS v3.1 9.8 (vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) e CVSS v4.0 9.3.
- SSVC: o registro indica impacto técnico total e automatizável como sim.
Produtos e versões afetadas
- O registro lista dois nomes de produto: OPEXUS eCase Portal e Opexustech Ecase Portal, ambos nas versões anteriores à 9.0.45.0.
- O registro não contém entradas de correção. O limite 9.0.45.0 é o teto da faixa afetada indicada, portanto é a primeira versão não afetada mais provável, mas isso é uma inferência que deve ser confirmada com o fornecedor.
Status de exploração
O registro indica que o item não consta no KEV da CISA, logo não há exploração ativa confirmada por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração do SSVC é none, e a probabilidade EPSS registrada é 0,00408 (percentil 0,33969). Esses dados não garantem atividade futura.
Correção e mitigação
- Inventariar todas as instalações do eCasePortal e registrar suas versões exatas.
- Planejar a atualização para a versão 9.0.45.0 ou uma versão posterior, após confirmar a build corrigida com o fornecedor.
- Restringir a exposição de rede do portal e mantê-lo atrás de controles de acesso fortes até a correção.
- Revisar os anexos armazenados em busca de exclusões inesperadas ou arquivos desconhecidos.
Orientação para detecção
- Analisar logs do servidor web e da aplicação em busca de requisições ao Attachments.aspx feitas por sessões não autenticadas.
- Observar volumes incomuns de requisições ou variação sequencial em parâmetros de identificador, que podem indicar enumeração.
- Monitorar eventos inesperados de exclusão ou envio no armazenamento de anexos.
Limitações das informações disponíveis
- O registro não lista versões corrigidas nem referências de patch.
- O link do aviso CSAF está marcado como quebrado no registro, então os detalhes do aviso do fornecedor não puderam ser verificados.
- O registro não descreve as condições exatas da requisição, a avaliação do fornecedor nem qualquer exploração observada.
- A data do EPSS deve ser lida como registrada, sem verificação independente.
Perguntas frequentes
Qual é a fraqueza principal do CVE-2026-22234?
O registro a classifica como referência direta a objeto insegura (CWE-639), em que o acesso aos arquivos depende de identificadores previsíveis em vez de verificações de autorização aplicadas.
Há exploração conhecida na natureza?
O registro indica que o item não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração do SSVC é none.
Quais versões são afetadas?
O registro lista versões anteriores à 9.0.45.0 para o OPEXUS eCase Portal e o Opexustech Ecase Portal. Confirme a build corrigida com o fornecedor, pois não há entradas de correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.