CVE-2026-25101: Fixação de Sessão no Bludit (CWE-384)
O Bludit define o identificador de sessão do usuário antes da autenticação e mantém o mesmo valor após o login, o que caracteriza uma fraqueza de fixação de sessão. O registro traz pontuação CVSS base 9.8 da NVD e indica correção na versão 3.17.2. Nas fontes consultadas não há exploração confirmada.
Visão geral
A CVE-2026-25101 descreve uma fraqueza de fixação de sessão no Bludit, um sistema de gerenciamento de conteúdo. Segundo o registro, o identificador de sessão é definido antes da autenticação e não é renovado quando o usuário faz login. A fraqueza é classificada como CWE-384.
Impacto
- O registro afirma que um atacante poderia fixar um identificador de sessão para uma vítima e, depois, sequestrar a sessão autenticada.
- A NVD atribui pontuação CVSS base 9.8, classificada como crítica. O vetor do registro marca os impactos de confidencialidade, integridade e disponibilidade como altos.
- O CERT-PL aparece no registro com pontuação CVSS menor, 4.8.
Produtos e versões afetados
- Produto: Bludit Bludit.
- As versões anteriores à 3.17.2 são listadas como afetadas no registro.
- A versão corrigida é a 3.17.2, conforme indicado pela tag de release listada nas referências.
Status de exploração
- O registro mostra que esta CVE não está listada no catálogo KEV da CISA.
- Nas fontes consultadas não há exploração confirmada na natureza.
- O registro traz probabilidade EPSS de 0.00356 e percentil de 0.28144.
- Os campos SSVC do registro indicam exploração none e automatizável no.
Correção e mitigação
- Atualize as instalações do Bludit para a versão 3.17.2 ou posterior.
- Faça o inventário de todas as instâncias do Bludit, inclusive as que não são gerenciadas centralmente, priorizando as expostas à internet.
- Quando não for possível atualizar de imediato, restrinja o acesso às funções administrativas e de login a redes confiáveis, sempre que viável.
- Após a atualização, considere invalidar sessões existentes antes da mudança e exigir novos logins.
Orientações de detecção
- Revise os logs de autenticação em busca de sessões que permaneçam válidas após um evento de login ou que apareçam a partir de endereços ou agentes de usuário inesperados.
- Observe atividade de contas logo após logins de locais não familiares, pois esse padrão pode indicar uso indevido de sessão.
Limitações das informações disponíveis
- A URL de referência do CERT-PL no registro aponta para o identificador CVE-2026-25099, e não para a CVE-2026-25101. Seu conteúdo não foi verificado em relação a esta CVE.
- O registro não descreve o caminho exato no código, o fluxo de autenticação nem se configurações padrão são afetadas.
- O registro não explica a diferença entre a pontuação 9.8 da NVD e a pontuação 4.8 do CERT-PL.
- O intervalo afetado é apresentado apenas como versões anteriores à 3.17.2, sem limite inferior.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-25101?
O Bludit define o identificador de sessão antes da autenticação e mantém o mesmo valor após o login do usuário, o que é classificado como fixação de sessão (CWE-384).
Qual versão corrige o problema?
O registro afirma que o problema foi corrigido na versão 3.17.2 e lista a tag de release 3.17.2 entre as referências.
Há exploração conhecida desta CVE na natureza?
O registro mostra que ela não está listada no KEV da CISA, e nas fontes consultadas não há exploração confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.