CVE-2026-23796: Fixação de sessão no Opensolution Quick.Cart (CWE-384)

Visão geral

O Opensolution Quick.Cart está sujeito a fixação de sessão, classificada como CWE-384. Segundo o registro, o identificador de sessão pode ser definido antes da autenticação e não muda após o login do usuário. O CNA CERT.PL publicou um aviso de terceiros em cert.pl.

Impacto

Um atacante que consiga inserir um identificador de sessão escolhido no navegador de uma vítima pode conseguir reutilizá-lo após a autenticação dela.
A NVD atribui pontuação base 9.8 pelo CVSS 3.1, com vetor de rede e sem necessidade de privilégios ou interação do usuário, conforme a entrada da NVD.
O CERT.PL atribui pontuação 4.8 pelo CVSS 4.0, segundo o registro. O vetor CVSS 4.0 não consta nos dados disponíveis.

Produtos e versões afetadas

Produto listado no registro: Opensolution Quick.Cart.
Confirmada como vulnerável: versão 6.7.
Outras versões não foram testadas. O fornecedor não informou a faixa de versões vulneráveis, portanto outras versões também podem ser afetadas.
A página do produto no fornecedor consta como referência.

Situação de exploração

O CVE não consta no catálogo CISA KEV. Nas fontes consultadas não há exploração confirmada na natureza. O registro não indica se existe código de exploração público, por isso essa situação é desconhecida.

Correção e mitigação

O registro não lista nenhuma versão corrigida. Isso não prova que não exista correção; consulte a página do produto no fornecedor e entre em contato com o fornecedor para obter uma atualização.
Faça o inventário de todas as instalações do Quick.Cart e identifique as que executam a versão 6.7 ou outras versões antigas.
Enquanto não houver correção confirmada pelo fornecedor, peça ao desenvolvedor ou administrador que revise como os identificadores de sessão são emitidos e renovados em torno do login, gerando um novo identificador após a autenticação. Trata-se de prática defensiva padrão e é uma inferência, pois as fontes não descrevem uma correção específica.
Limite a exposição das áreas administrativas e de contas de clientes sempre que possível.

Orientações de detecção

Revise os logs da aplicação e do servidor web em busca de identificadores de sessão que permanecem inalterados após eventos de login.
Monitore o uso do mesmo identificador de sessão a partir de endereços IP ou ambientes de cliente inesperados após um login autenticado.

Limitações das informações disponíveis

Nenhuma versão corrigida consta no registro.
Apenas a versão 6.7 foi testada; a faixa completa de versões afetadas é desconhecida.
O fornecedor não forneceu detalhes ao CNA.
Não há pontuação EPSS, dados SSVC nem vetor CVSS 4.0 no registro.
Nenhuma prova de conceito pública ou evidência de exploração foi encontrada nas fontes consultadas.

Perguntas frequentes

O Quick.Cart é afetado por esta vulnerabilidade?

O registro confirma que a versão 6.7 foi testada e considerada vulnerável. Outras versões não foram testadas, então sua situação é desconhecida e podem também ser afetadas.

Existe versão corrigida disponível?

O registro não lista nenhuma versão corrigida. Isso não prova que não exista correção; consulte a página do fornecedor e entre em contato com ele para obter atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.