CVE-2026-25811: PlaciPy: confiança em domínio de e-mail permite acesso a dados entre tenants
A CVE-2026-25811 afeta o PlaciPy na versão 1.0.0, um sistema de gestão de placements para instituições de ensino. A aplicação define o identificador do tenant a partir do domínio de e-mail informado pelo usuário, sem verificar se o domínio pertence à instituição ou está registrado, o que permite acesso a dados de outros tenants. A NVD atribui pontuação 9,1 (crítica), e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Visão geral
O PlaciPy é um sistema de gestão de placements voltado a instituições de ensino. O registro descreve a versão 1.0.0 como uma aplicação que deriva o identificador do tenant a partir do domínio de e-mail informado pelo usuário, sem verificar a propriedade ou o registro do domínio.
Impacto
- O registro afirma que isso permite acesso a dados entre tenants.
- A NVD classifica o problema com pontuação 9,1 (crítica), com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade no seu vetor.
- A fraqueza é classificada como CWE-863, Autorização Incorreta.
Produtos afetados e versões
- Prasklatechnology Assessment-placipy, versão 1.0.0
- Prasklatechnology Placipy, versão 1.0.0
O registro não lista outras versões. Não é possível afirmar se outras versões são afetadas.
Status de exploração
O CISA KEV não lista esta CVE. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,0041, com percentil de 0,34163.
Correção e mitigação
O registro lista um Security Advisory do GitHub classificado como mitigação. Nenhuma versão corrigida é informada no registro, mas essa ausência não significa que não exista correção. Analise o advisory e aplique as orientações nele contidas. Até a verificação, trate a atribuição de tenant baseada em domínio de e-mail declarado pelo próprio usuário como não confiável.
Orientações de detecção
- Revise registros de acesso em busca de requisições cujo contexto de tenant não corresponda à instituição vinculada à conta.
- Procure contas cadastradas com domínios de e-mail que não pertencem à instituição.
- Monitore leituras inesperadas além das fronteiras entre tenants.
Limitações das informações disponíveis
- O registro não descreve o caminho de código vulnerável nem o patch exato.
- Nenhuma versão corrigida é informada.
- O conteúdo do advisory não está incluído no registro.
Perguntas frequentes
Qual é o problema central da CVE-2026-25811?
Segundo o registro, a versão 1.0.0 do PlaciPy deriva o identificador do tenant do domínio de e-mail informado pelo usuário, sem validar se o domínio pertence à instituição ou está registrado. Isso permite acesso a dados entre tenants.
Quais versões são afetadas?
O registro lista a versão 1.0.0 para Prasklatechnology Assessment-placipy e Prasklatechnology Placipy. Não é possível saber, pelos dados disponíveis, se outras versões são afetadas.
Esta CVE está sendo explorada ativamente?
O CISA KEV não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.