CVE-2026-24728: Interinfo DreamMaker - Falta de autenticação em endpoint administrativo
Versões do Interinfo DreamMaker anteriores a 2025/10/22 expõem funcionalidade administrativa pelo endpoint /servlet/baServer3 sem exigir autenticação, conforme registrado na CVE-2026-24728 (CWE-306). O CNA ART@zuso.ai atribuiu pontuação base CVSS 4.0 de 9.3. O registro não lista produtos afetados nem versões corrigidas, por isso as organizações devem verificar sua exposição no aviso do fornecedor.
Visão geral
A CVE-2026-24728 é classificada como CWE-306, falta de autenticação para função crítica. Segundo o registro, o endpoint /servlet/baServer3 das versões do Interinfo DreamMaker anteriores a 2025/10/22 expõe funcionalidade administrativa que pode ser acessada sem autenticação prévia. A CVE foi publicada em 2026-01-30 pelo CNA ART@zuso.ai, e o status do registro é Deferred.
Impacto
O CNA atribuiu pontuação 9.3 pelo CVSS 4.0 (crítica). O vetor do registro indica vetor de ataque pela rede, baixa complexidade, ausência de privilégios exigidos, ausência de interação do usuário e alto impacto sobre confidencialidade, integridade e disponibilidade do componente vulnerável. Na prática, uma função administrativa exposta e acessível sem login pode permitir alterações não autorizadas no produto ou em seus dados, embora o registro não descreva as ações específicas possíveis.
Produtos afetados e versões
- O registro descreve como afetadas as versões do Interinfo DreamMaker anteriores a 2025/10/22.
- A lista estruturada de produtos afetados está vazia, por isso nomes exatos de produtos, builds e plataformas são desconhecidos.
- Nenhuma versão corrigida está listada no registro.
Status de exploração
O registro mostra que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. A pontuação EPSS não está disponível no registro.
Correção e mitigação
- Consulte o aviso do fornecedor em aviso zuso.ai ZA-2026-01 para builds corrigidos e orientações de atualização.
- Faça o inventário de todas as instalações do Interinfo DreamMaker e confirme quais são anteriores a 2025/10/22.
- Até a aplicação de correção, restrinja o acesso de rede às interfaces administrativas a redes de gerenciamento confiáveis, por exemplo por segmentação ou listas de controle de acesso.
- Não exponha diretamente à internet os endpoints de gerenciamento do DreamMaker.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao caminho /servlet/baServer3 vindas de origens inesperadas.
- Monitore alterações administrativas inesperadas de configuração ou novas contas no DreamMaker.
- Compare os serviços expostos com o inventário de ativos para localizar instâncias acessíveis fora da rede confiável.
Limitações das informações disponíveis
- O registro não tem lista de produtos afetados, versões corrigidas nem detalhes de correção fornecidos pelo fornecedor.
- Dados EPSS e SSVC estão ausentes.
- As funções exatas acessíveis pelo endpoint não são descritas.
- O status do registro é Deferred, por isso análises adicionais podem alterar os dados.
Perguntas frequentes
O que é a CVE-2026-24728?
É uma vulnerabilidade de falta de autenticação (CWE-306) no endpoint /servlet/baServer3 das versões do Interinfo DreamMaker anteriores a 2025/10/22, segundo o registro.
Há confirmação de exploração?
O registro mostra que a CVE não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
O registro não informa versão corrigida. Consulte o aviso do fornecedor no zuso.ai para orientações de atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.