CVE-2026-25803: 3DP-MANAGER: Credenciais administrativas padrão embutidas no código

Visão geral

A CVE-2026-25803 é uma falha Crítica no 3DP-MANAGER, descrito como um gerador de inbound para 3x-ui. Segundo o registro, as versões 2.0.1 e anteriores criam uma conta administrativa com as credenciais padrão conhecidas admin/admin na primeira inicialização da aplicação. A fraqueza é classificada como CWE-798, uso de credenciais embutidas no código.

Impacto

A descrição afirma que atacantes com acesso de rede à interface de login podem obter controle administrativo total, incluindo o gerenciamento de túneis VPN e das configurações do sistema. O vetor CVSS 3.1 do registro (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica alcance pela rede, sem necessidade de privilégios ou interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade. Como basta conhecer as credenciais padrão, a exposição da interface de login é o principal fator que define o risco real.

Produtos e versões afetadas

Produto: Denpiligrim 3dp-manager
Faixa afetada no registro: 2.0.1 e anteriores (listada como menor ou igual a 2.0.1)
Versão corrigida segundo a descrição: 2.0.2

O registro vincula um commit de correção, mas o conteúdo desse commit não foi analisado aqui, portanto o estado exato da correção só é confirmado pela afirmação da descrição.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA não lista esta CVE no registro, logo nenhuma exploração ativa é confirmada por essa fonte. Nenhuma exploração confirmada é relatada nas fontes consultadas. A probabilidade EPSS no registro é 0,00594 (percentil 0,4697), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o 3DP-MANAGER para a versão 2.0.2 ou posterior, conforme indicado na descrição e no commit de correção referenciado.
Altere a senha padrão do administrador e verifique se a conta padrão ainda existe em qualquer instalação, inclusive nas inicializadas antes da correção.
Não exponha a interface de login a redes não confiáveis. Restrinja o acesso administrativo com controles de rede, acesso somente por VPN ou listas de permissão.
Revise contas e alterações em VPN ou configurações do sistema caso alguma instância tenha ficado acessível com credenciais padrão.

Orientações de detecção

Verifique se alguma instalação ainda aceita as credenciais padrão admin/admin e trate qualquer resultado positivo como achado a corrigir.
Analise os registros de autenticação em busca de logins administrativos bem-sucedidos de origens ou horários inesperados.
Audite alterações recentes em túneis VPN, usuários e configurações do sistema, já que o impacto descrito abrange essas áreas.
Monitore logins administrativos vindos da internet caso a interface esteja exposta.

Limitações das informações disponíveis

O registro não informa a versão que introduziu a conta padrão, o número de instalações afetadas, nem se existe prova de conceito pública. A descrição usa o tempo futuro ao se referir à versão 2.0.2 como correção, e o aviso e o conteúdo do commit não foram revisados nesta análise. A data do EPSS no registro não é usada para nenhuma conclusão.

Perguntas frequentes

Qual é o problema central da CVE-2026-25803?

Segundo o registro, o 3DP-MANAGER nas versões 2.0.1 e anteriores cria uma conta administrativa com as credenciais padrão admin/admin na primeira inicialização, uma fraqueza de credenciais embutidas no código.

Qual versão corrige o problema?

A descrição indica que o problema será corrigido na versão 2.0.2, e o registro vincula um commit de correção. O conteúdo desse commit não foi revisado nesta análise.

Esta CVE é conhecida por ser explorada na natureza?

O catálogo KEV da CISA não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Atualizar para a 2.0.2 ou posterior, alterar a senha padrão do administrador, verificar se a conta padrão ainda existe e restringir o acesso à interface de login.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.