CVE-2026-25519: OpenSlides: controle de acesso inadequado permite login local de usuários sincronizados via SAML com senha trivial compartilhada
O OpenSlides, sistema web de apresentação e assembleias, apresenta um problema de controle de acesso inadequado que afeta usuários sincronizados por um provedor de identidade SAML externo. Segundo o registro, o formulário de login local aceitava o nome de usuário do OpenSlides de um usuário SAML com uma senha trivial, válida para todos os usuários SAML. A NVD classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro indica correção na versão 4.2.29.
Visão geral
O registro descreve a CVE-2026-25519 no OpenSlides, sistema web de apresentação e assembleias. Antes da versão 4.2.29, usuários sincronizados a partir de um provedor de identidade SAML externo podiam autenticar pelo formulário de login local usando apenas o nome de usuário do OpenSlides e uma senha trivial, aceita para todos os usuários SAML.
Impacto
- O registro classifica a falha como controle de acesso inadequado (CWE-284).
- A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios.
- O GitHub lista uma pontuação CVSS 3.1 distinta, de 8.1.
- As consequências práticas dependem dos dados e das assembleias gerenciadas em cada instalação. O registro não descreve exposição específica de dados.
Produtos e versões afetadas
- Produto: OpenSlides (listado no registro como Openslides Openslides).
- Faixa indicada no registro: de 4.2.5 até antes da 4.2.29.
- A correção está na 4.2.29, conforme o registro e a tag de lançamento do fornecedor.
- O registro não informa se versões fora dessa faixa são afetadas.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o OpenSlides para a versão 4.2.29 ou superior, como indicam as referências de correção.
- O registro também referencia um commit de correção no repositório openslides-auth-service. Consulte o aviso do fornecedor para confirmar quais componentes devem ser atualizados no seu ambiente.
- Até a atualização, considere restringir o login local de contas provisionadas via SAML. Trata-se de recomendação defensiva geral, não de um workaround documentado pelo fornecedor.
- Revise os logs de autenticação em busca de logins locais inesperados de contas sincronizadas via SAML.
Orientações de detecção
- Monitore eventos de login local de contas que normalmente se autenticam via SAML.
- Cruze logins locais bem-sucedidos com os registros do provedor de identidade, já que um usuário sincronizado via SAML normalmente não deveria possuir sessão local.
- Gere alertas para logins locais em contas administrativas originados de fontes ou horários incomuns.
Limitações das informações disponíveis
- O registro de origem não tem título, por isso o título desta análise foi elaborado a partir da descrição.
- O registro não informa se o login local vem habilitado por padrão nem o grau de adoção da integração SAML.
- Pontuação EPSS e dados SSVC estão ausentes.
- O aviso do fornecedor não foi analisado além do registro, portanto eventuais detalhes adicionais nele não estão refletidos aqui.
Perguntas frequentes
A CVE-2026-25519 está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA e que nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões do OpenSlides são afetadas?
O registro lista as versões de 4.2.5 até antes da 4.2.29. A atualização para a 4.2.29 ou superior é a correção indicada pelas fontes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.