CVE-2026-26093: Injeção de comando no Owl OPDS
A CVE-2026-26093 é uma falha de injeção de comando (CWE-77) no Owl OPDS 2.2.0.4 que pode ser acionada por uma requisição de rede elaborada. O NVD atribui pontuação CVSS crítica de 9,8, e a CNA Nozomi Networks informa 8,7 no CVSS 4.0. O registro não indica exploração confirmada nem versão corrigida.
Visão geral
A CVE-2026-26093 descreve uma fraqueza de injeção de comando (CWE-77) no Owl OPDS 2.2.0.4. Segundo o registro, elementos especiais presentes na entrada não são devidamente neutralizados antes de serem usados em um comando, e uma requisição de rede elaborada pode acionar o problema. A CVE foi publicada em 20/02/2026 e sua CNA é a Nozomi Networks.
Impacto
- A pontuação base do NVD é 9,8 (crítica), com vetor de ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, além de alto impacto na confidencialidade, integridade e disponibilidade.
- A Nozomi Networks informa 8,7 no CVSS 4.0.
- Injeções de comando normalmente permitem que o atacante faça o host afetado executar operações não previstas. O impacto exato em cada implantação depende dos privilégios do serviço afetado, que o registro não descreve.
Produtos e versões afetadas
- Owl Opds: versões até 2.2.0.4, inclusive.
- Owlcyberdefense Opds-talon: versão 2.2.0.4.
O registro não informa se builds anteriores ou posteriores a essas entradas são afetados.
Status de exploração
O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade de exploração pelo EPSS é 0,01981 (percentil 0,80412), que é uma estimativa estatística e não evidência de ataques.
Correção e mitigação
- Nenhuma versão corrigida consta no registro. Isso é desconhecido e não significa que não exista correção. Consulte o aviso da Nozomi Networks e o fornecedor para builds atualizados.
- Faça o inventário de todas as implantações do Owl OPDS e do Opds-talon, incluindo a versão 2.2.0.4, priorizando sistemas acessíveis a partir de redes não confiáveis.
- Restrinja a exposição de rede do serviço afetado a hosts confiáveis e segmente-o das redes gerais de usuários até que a correção seja aplicada.
- Aplique as atualizações do fornecedor quando disponíveis e verifique a versão instalada depois.
Orientações de detecção
- Revise os logs do serviço afetado em busca de processos filhos inesperados, atividade incomum de comandos do sistema ou requisições com caracteres especiais incomuns.
- Monitore o tráfego de rede para o serviço em busca de origens ou volumes anômalos e gere alertas para novas conexões de saída partindo do host.
- Trate qualquer sinal de execução de comando inesperada em um host afetado como possível comprometimento e siga seu procedimento de resposta a incidentes.
Limitações das informações disponíveis
O registro não descreve os parâmetros exatos da requisição, os requisitos de autenticação, o componente afetado dentro do produto nem qualquer correção do fornecedor. Também não confirma exploração, código de prova de conceito público nem os motivos das diferenças entre as pontuações do NVD e da Nozomi. Esses pontos permanecem desconhecidos.
Perguntas frequentes
Quais produtos são afetados pela CVE-2026-26093?
O registro lista o Owl Opds até a versão 2.2.0.4, inclusive, e o Owlcyberdefense Opds-talon na versão 2.2.0.4.
A CVE-2026-26093 é explorada conhecidamente?
O registro indica que ela não consta no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,01981.
Existe uma versão corrigida?
Nenhuma versão corrigida consta no registro. Essa informação é desconhecida, então consulte o aviso da Nozomi Networks e o fornecedor para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.