CVE-2026-25753: Prasklatechnology PlaciPy 1.0.0: senha padrão fixa (hard-coded) em contas de estudantes
A CVE-2026-25753 afeta o Prasklatechnology PlaciPy versão 1.0.0, um sistema de gestão de colocação profissional para instituições de ensino. As contas de estudantes recém-criadas recebem uma senha padrão fixa embutida no código, o que possibilita a tomada de contas em massa assim que essa senha for conhecida. O NVD classifica a falha como CVSS 3.1 9.8 (Crítica), e não há exploração confirmada nas fontes consultadas.
Visão geral
O PlaciPy é um sistema de gestão de colocação profissional para instituições de ensino. Segundo o registro, a versão 1.0.0 atribui uma senha padrão fixa e estática, embutida no código, a cada conta de estudante recém-criada, de modo que todas essas contas começam com a mesma credencial.
Impacto
- Quem conhecer a senha padrão pode entrar como qualquer estudante cuja conta ainda a utilize.
- O registro descreve o problema como tomada de contas em massa, mas não informa quais dados de estudantes ou funções da aplicação ficariam expostos.
- O NVD atribui CVSS 3.1 9.8 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade. A CNA do GitHub atribui CVSS 4.0 9.3.
Produtos e versões afetadas
- Prasklatechnology PlaciPy, versão 1.0.0, conforme listado no registro.
- O registro não lista outras versões afetadas nem uma versão corrigida.
Status de exploração
A CVE não consta no catálogo CISA KEV no registro. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00561, com percentil de 0.45121.
Correção e mitigação
- A única referência do registro é um aviso do fornecedor marcado como mitigação: GHSA-6537-cf56-j9w2. Consulte-o para as orientações do fornecedor.
- Enquanto uma versão corrigida não for confirmada, verifique se alguma conta ainda usa a senha padrão e exija a redefinição de uma credencial única para cada uma.
- Interrompa a criação de contas com senha estática compartilhada. Entregue credenciais temporárias individuais por canal seguro e exija a troca no primeiro acesso.
- Limite a exposição de rede da aplicação sempre que possível.
Orientações de detecção
- Audite os registros de contas criadas por versões afetadas para identificar contas que ainda possam manter a credencial padrão.
- Revise os logs de autenticação em busca de logins bem-sucedidos vindos de origens não reconhecidas ou de uma única origem acessando muitas contas de estudantes.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem detalhes sobre o valor da senha padrão ou sobre os dados expostos.
- Não é possível saber, apenas pelo registro, se a mitigação do fornecedor remove totalmente a senha padrão.
- A data do EPSS no registro é 2026-10-13, reproduzida como fornecida.
Perguntas frequentes
Qual é o problema central da CVE-2026-25753?
A versão 1.0.0 do PlaciPy atribui a todas as contas de estudantes recém-criadas a mesma senha padrão fixa embutida no código. Quem conhecer essa senha pode acessar essas contas.
Há uma versão corrigida indicada?
Não. O registro não lista versão corrigida. Ele aponta para um aviso do fornecedor marcado como mitigação, que deve ser consultado.
Há exploração conhecida desta vulnerabilidade?
A CVE não consta no catálogo CISA KEV no registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.