CVE-2026-24874: Vulnerabilidade de Confusão de Tipo (Type Confusion) no xray-monolith da themrdemonized
A CVE-2026-24874 é uma falha de confusão de tipo (CWE-843) no projeto xray-monolith, da themrdemonized, que afeta versões anteriores a 2025.12.30. NVD e CNA atribuem pontuação CVSS 3.1 de 9.1 (crítica), com vetor de rede, baixa complexidade e sem necessidade de privilégios ou interação do usuário. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e a correção indicada é o pull request referenciado no registro.
Visão geral
A CVE-2026-24874 descreve um problema de confusão de tipo (CWE-843, 'Access of Resource Using Incompatible Type') no xray-monolith, da themrdemonized. O registro informa que o problema afeta versões anteriores a 2025.12.30 e aponta um pull request do repositório do projeto como referência de correção.
Impacto
Os registros da NVD e da CNA atribuem pontuação CVSS 3.1 de 9.1 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Com esse vetor, o impacto em confidencialidade e integridade é alto e o impacto em disponibilidade é nulo. O registro não descreve as consequências concretas da confusão de tipo além dessa pontuação.
Produtos e versões afetadas
- Produto: Themrdemonized Xray-monolith
- Faixa afetada: versões inferiores a 2025.12.30
- Versão corrigida: não informada de forma explícita. A faixa afetada indica 2025.12.30 como a primeira versão não afetada, e o registro aponta o pull request 399 como correção.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Dados de EPSS não estão disponíveis no registro.
Correção e mitigação
- Identifique as instalações do xray-monolith e a versão em uso.
- Atualize para a versão 2025.12.30 ou posterior, conforme indicado pela faixa afetada.
- Revise o pull request de correção para confirmar que a alteração está presente na sua versão.
- Quando a atualização não for possível de imediato, restrinja a exposição do componente afetado a usuários e redes confiáveis até que ele seja atualizado.
Orientações de detecção
- Faça o inventário de software para localizar instalações do xray-monolith e suas strings de versão.
- Monitore falhas inesperadas ou comportamento anormal no componente. Esses eventos podem indicar problemas no tratamento de tipos, mas não são prova de comprometimento por si só.
Limitações das informações disponíveis
O registro traz uma descrição curta, um vetor CVSS, a faixa afetada e uma referência de correção. Não descreve as condições de acionamento, os caminhos de código afetados, o cenário de ataque nem eventual texto de aviso do fornecedor. O limite de 2025.12.30 é inferido a partir da faixa afetada. Consulte o registro na NVD para atualizações.
Perguntas frequentes
Quais versões do xray-monolith são afetadas pela CVE-2026-24874?
O registro lista como afetadas as versões inferiores a 2025.12.30. A versão corrigida não é informada de forma explícita, mas a faixa afetada indica 2025.12.30 como primeira versão não afetada.
A CVE-2026-24874 é explorada na prática?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.