CVE-2026-23696: Injeção de SQL no gerenciamento de propriedade de pastas do Windmill permite forjar tokens e executar código

Visão geral

A CVE-2026-23696 afeta as edições Community (CE) e Enterprise (EE) do Windmill. Segundo o registro, a falha é uma injeção de SQL na funcionalidade de gerenciamento de propriedade de pastas, acionada pelo parâmetro owner por um usuário autenticado. O registro descreve uma cadeia em que o SQL injetado expõe o segredo de assinatura de JWT e identificadores de usuários administrativos, o que poderia permitir forjar um token administrativo e, depois, executar código pelos endpoints de execução de workflows.

Impacto

Confidencialidade: o registro afirma que dados sensíveis, incluindo o segredo de assinatura de JWT e identificadores de usuários administrativos, podem ser lidos.
Integridade e privilégios: o registro afirma que um token administrativo pode ser forjado após a exposição do segredo.
Execução de código: o registro afirma que código arbitrário pode ser executado pelos endpoints de execução de workflows.
Pontuação: a VulnCheck informa pontuação base CVSS 3.1 de 9.9 (crítica) e pontuação CVSS 4.0 de 9.4. A avaliação do NVD ainda não consta no registro.

Produtos e versões afetados

O registro afirma que as edições CE e EE nas versões 1.276.0 até 1.603.2 são afetadas.
Os campos estruturados de afetados e correções estão vazios, portanto a lista de afetados baseia-se apenas no texto da descrição.
As referências incluem uma versão marcada como 1.603.3 e um commit no repositório do Windmill. O registro não afirma explicitamente que eles são a correção. Como a faixa afetada termina em 1.603.2, uma versão posterior a essa faixa é o provável alvo de correção (inferência). Confirme nas notas de release do fornecedor.

Status de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS registrada é 0.13582, com percentil 0.9639; o EPSS é uma estimativa preditiva e não confirma exploração.

Correção e mitigação

Planeje a atualização para uma versão do Windmill fora da faixa afetada indicada, priorizando a versão 1.603.3 citada no registro após verificar seu conteúdo nas notas do fornecedor.
Até concluir a atualização, restrinja quais contas podem alterar a propriedade de pastas e limite o acesso à instância do Windmill a partir de redes não confiáveis.
Após a correção, considere rotacionar o segredo de assinatura de JWT e revisar tokens e contas administrativas existentes, pois o registro descreve a exposição desses valores.

Orientações de detecção

Revise os logs de auditoria em busca de alterações inesperadas de propriedade de pastas e de valores de owner que não correspondam a usuários conhecidos.
Procure ações administrativas inesperadas, novas sessões privilegiadas ou execuções de workflows que a equipe não iniciou.
Monitore os logs de erro da aplicação em busca de erros de banco de dados associados a requisições de propriedade de pastas.

Limitações das informações disponíveis

O registro não tem título, seu status de origem é Awaiting Analysis e ainda não há pontuação do NVD.
Os campos estruturados de versões afetadas e corrigidas estão vazios, então a versão exata da correção não é confirmada pelo registro.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação, então deve ser verificada na fonte antes de ser usada.
A cadeia de exploração é resumida apenas a partir do registro; detalhes técnicos não estavam disponíveis.

Perguntas frequentes

O que a CVE-2026-23696 afeta?

Segundo o registro, as edições Community e Enterprise do Windmill nas versões 1.276.0 até 1.603.2 são afetadas por uma injeção de SQL no gerenciamento de propriedade de pastas.

Há exploração conhecida desta vulnerabilidade?

O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.

O que os administradores devem fazer agora?

Planejar a atualização para uma versão fora da faixa afetada, restringir quem pode alterar a propriedade de pastas e, após a correção, considerar rotacionar o segredo de JWT e revisar tokens administrativos.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.