CVE-2026-25810: PlaciPy: Falta de Autorização em Nível de Objeto nas Rotas de Submissão de Estudantes

Visão geral

PlaciPy é um sistema de gestão de colocações de estudantes voltado a instituições de ensino. Segundo o registro, as rotas de submissão de estudantes em backend/src/routes/student.submission.routes.ts verificam se o usuário está autenticado, mas não aplicam autorização em nível de objeto, ou seja, a checagem de propriedade sobre cada registro. A fraqueza é classificada como CWE-862 (Falta de Autorização).

Impacto

Um usuário autenticado pode conseguir acessar ou alterar registros pertencentes a outros usuários, caso a propriedade não seja verificada. O registro não descreve com precisão quais dados podem ser expostos.
A NVD atribui pontuação base de 9.1 (crítica), com alto impacto em confidencialidade e integridade e sem necessidade de interação do usuário.
O GitHub atribui 5.3 em um framework de pontuação mais recente, portanto as fontes divergem na avaliação de severidade.

Produtos e versões afetadas

Prasklatechnology Assessment-placipy: versão 1.0.0.
Prasklatechnology Placipy: versão 1.0.0.
O registro não lista outras versões afetadas. Outras publicações não são tratadas nas fontes consultadas.

Status de exploração

Esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.00505 (percentil 0.42282).

Correção e mitigação

A única referência fornecida é o aviso do fabricante GHSA-2gqv-gxrj-p8x3, classificado como mitigação. Consulte-o para orientações atualizadas.
O registro não informa uma versão corrigida. Não presuma que o problema está resolvido; confirme a situação com o fabricante.
Enquanto não houver correção confirmada, restrinja o acesso às instâncias afetadas a usuários confiáveis, revise quais registros podem ser alcançados pelas funções de submissão e monitore acessos inesperados.
A validação de propriedade no servidor para cada acesso a registros nessas rotas é a correção padrão para esta classe de fraqueza (inferência).

Orientação para detecção

Revise os logs da aplicação e da API em busca de requisições às funções de submissão em que a conta solicitante não seja dona do registro referenciado.
Configure alertas para volumes incomuns de leituras ou alterações de registros originados de uma única conta.

Limitações das informações disponíveis

O registro não identifica endpoints específicos, parâmetros nem o conjunto completo de versões afetadas.
Nenhuma versão corrigida é informada.
Há apenas um aviso de fabricante referenciado, e as duas pontuações baseadas em CVSS vêm de fontes e frameworks diferentes.
Não é possível saber se uma implantação específica executa uma versão afetada.

Perguntas frequentes

Qual é a fraqueza central da CVE-2026-25810?

As rotas de submissão de estudantes do PlaciPy 1.0.0 confirmam que o usuário está autenticado, mas não verificam se ele é dono do objeto acessado. Trata-se de CWE-862, Falta de Autorização.

Esta CVE está sendo explorada ativamente?

Ela não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none.

Qual versão é afetada e o que devo fazer?

O registro indica a versão 1.0.0 do PlaciPy para ambas as entradas de produto. Nenhuma versão corrigida é informada, então revise o aviso do fabricante GHSA-2gqv-gxrj-p8x3 e confirme a situação com o fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.