CVE-2026-25505: Bambuddy: chave de assinatura JWT codificada no código e autenticação ausente

Visão geral

O Bambuddy é um sistema self-hosted de arquivo e gerenciamento de impressões para impressoras 3D Bambu Lab. Segundo o registro, versões anteriores à 0.1.7 usam uma chave secreta codificada no código para assinar JSON Web Tokens (JWTs), e algumas rotas de API não verificam autenticação. O problema está corrigido na versão 0.1.7.

Impacto

O registro classifica a fraqueza como CWE-306, Ausência de Autenticação para Função Crítica.
A pontuação CVSS 3.1 base atribuída pelo CNA é 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica ataque pela rede, sem privilégios e sem interação do usuário.
Como a chave de assinatura está no código-fonte, quem puder ler esse código pode conhecê-la, o que permitiria criar tokens aceitos pela aplicação (inferência).

Produtos e versões afetados

Bambuddy Bambuddy: versões anteriores à 0.1.7, segundo o registro.
O registro lista referências de correção no repositório do Bambuddy no GitHub, incluindo commits e o pull request 225.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O registro inclui uma referência de aviso do GitHub com a marcação Exploit. O conteúdo por trás dessa marcação não estava disponível para análise, portanto não é tratado como confirmação de exploração.

Correção e mitigação

Atualize o Bambuddy para a versão 0.1.7 ou superior. Esta é a correção citada no registro.
Após a atualização, substitua a chave de assinatura do JWT por um valor recém-gerado, já que o valor anterior ficou exposto no código-fonte (inferência).
Invalide sessões e tokens emitidos antes da atualização, pois podem ter sido assinados com a chave exposta (inferência).
Não exponha a aplicação diretamente na internet. Mantenha-a atrás de uma VPN ou de uma fronteira de rede confiável até a atualização.
Leia as notas de versão da v0.1.7 e o aviso de segurança no GitHub.

Orientações de detecção

Verifique qual versão do Bambuddy está implantada no seu ambiente e identifique instâncias abaixo da 0.1.7.
Revise os logs de acesso web e de API em busca de requisições às rotas do Bambuddy sem sessão autenticada válida, especialmente de origens inesperadas.
Procure sessões ou tokens que não tenham sido criados pelo fluxo de login normal.
Monitore alterações inesperadas nos dados do arquivo de impressões ou na configuração das instâncias afetadas.

Limitações das informações disponíveis

O registro não inclui título, então o título usado aqui foi redigido a partir da descrição.
A descrição menciona rotas ManyAPI sem listá-las. Os endpoints exatos afetados são desconhecidos a partir do registro.
O registro não informa se a chave exposta é a mesma em todas as implantações nem se pode ser alterada por configuração. Essa informação é desconhecida.
O conteúdo dos commits referenciados e do arquivo de código não foi analisado, portanto os detalhes da alteração são desconhecidos.
Não há dados de EPSS ou SSVC no registro.

Perguntas frequentes

O que é a CVE-2026-25505?

É uma vulnerabilidade no Bambuddy, um sistema self-hosted de arquivo de impressões para impressoras 3D Bambu Lab. Versões anteriores à 0.1.7 usam uma chave codificada para assinar JWTs e algumas rotas de API não verificam autenticação.

Qual versão corrige o problema?

Segundo o registro, o problema está corrigido na versão 0.1.7. Atualize para essa versão ou superior.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

O que fazer após a atualização?

Substitua a chave de assinatura do JWT por um valor recém-gerado e invalide as sessões emitidas antes da atualização, pois a chave antiga ficou exposta no código-fonte.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.