CVE-2026-25876: PlaciPy da Prasklatechnology: autorização ausente em nível de objeto no endpoint de resultados
O PlaciPy na versão 1.0.0 verifica a autenticação nas rotas de resultados, mas não aplica verificações de propriedade, o que caracteriza falta de autorização em nível de objeto (CWE-862). Segundo o registro, isso pode permitir a obtenção de todos os resultados de uma avaliação. A NVD atribui nota 9.1 (crítica), não há inclusão no catálogo KEV da CISA e a única referência é um aviso de mitigação do fornecedor, sem versão corrigida informada.
Visão geral
O PlaciPy é um sistema de gerenciamento de colocações para instituições de ensino. O CVE-2026-25876 descreve uma falha na versão 1.0.0, em que as rotas de resultados de backend/src/routes/results.routes.ts verificam a autenticação, mas não aplicam verificações de propriedade em nível de objeto. O registro afirma que isso pode ser usado para retornar todos os resultados de uma avaliação.
Impacto
- O vetor da NVD classifica o impacto em confidencialidade e integridade como alto e em disponibilidade como nulo, com nota base de 9.1.
- A pontuação do GitHub para o mesmo problema é 5.3, por isso a classificação de severidade difere entre as fontes.
- O impacto prático depende da quantidade de avaliações e de resultados de estudantes armazenados na implantação afetada.
Produtos e versões afetadas
- Prasklatechnology Assessment-placipy, versão 1.0.0.
- Prasklatechnology Placipy, versão 1.0.0.
- O registro não lista outras versões afetadas. A lista de versões permitidas contém apenas 1.0.0.
Status de exploração
- A vulnerabilidade não consta no catálogo KEV da CISA, portanto essa lista não confirma exploração ativa.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O SSVC marca a exploração como none e a automatização como no. A probabilidade EPSS é 0.00505.
Correção e mitigação
- O registro aponta um aviso de segurança do fornecedor com uma mitigação. Consulte o aviso GHSA-w238-w4mg-j357 no GitHub.
- O registro não informa versão corrigida. Não presuma que versões posteriores resolvem o problema sem confirmação do fornecedor.
- Até que a correção seja confirmada, restrinja o acesso à funcionalidade de resultados a pessoal autorizado.
- Verifique se a implantação está executando a versão 1.0.0.
Orientação para detecção
- Revise os logs da aplicação em busca de consultas de resultados feitas por contas que não são proprietárias da avaliação.
- Observe exportações de resultados incomumente grandes ou muitas requisições de resultados partindo de uma mesma conta.
- Mantenha essas verificações em nível de monitoramento e valide-as com o seu próprio modelo de acesso.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem detalhes de correção além da referência de mitigação.
- Não se sabe se versões diferentes de 1.0.0 são afetadas.
- As fontes não descrevem quantas implantações existem nem se alguma foi alvo de ataques.
- O registro não explica a diferença entre as pontuações da NVD e do GitHub.
Perguntas frequentes
Qual é a falha central do CVE-2026-25876?
As rotas de resultados do PlaciPy 1.0.0 verificam se o usuário está autenticado, mas não verificam se ele é proprietário dos dados de avaliação solicitados, o que caracteriza falta de autorização em nível de objeto.
Esta vulnerabilidade está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O SSVC marca a exploração como none.
Existe uma versão corrigida disponível?
O registro não informa uma versão corrigida. Ele aponta um aviso do fornecedor com uma mitigação, então consulte esse aviso e confirme a correção com o fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.