CVE-2026-26219: newbee-mall: hash de senhas com MD5 sem salt permite quebra offline de credenciais
O newbee-mall armazena e verifica senhas de usuários com MD5 sem salt e sem controles de custo computacional, de modo que quem obtiver os hashes pode tentar recuperar as senhas em texto claro offline. A CNA VulnCheck registra pontuação CVSS base 9,1 e classifica a fraqueza como CWE-327. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.
Visão geral
O newbee-mall, um projeto de e-commerce, armazena e verifica senhas de usuários com MD5 sem salt. Sem um salt por usuário e sem fator de trabalho, senhas idênticas geram hashes idênticos e a recuperação é rápida após a obtenção dos hashes. A CNA VulnCheck publicou um aviso sobre a fraqueza, disponível em aviso da VulnCheck, e o issue do projeto está registrado em issue 119 no GitHub.
Impacto
- A confidencialidade das credenciais dos usuários fica em risco se os hashes de senha forem expostos.
- Senhas recuperadas podem ser reutilizadas em outros serviços, ampliando o impacto além do newbee-mall.
- A CNA registra pontuação CVSS base 9,1, com alto impacto em confidencialidade e integridade.
Produtos e versões afetadas
- Newbee-ltd Newbee-mall: versão 1.0.0.
- Newbee-mall Project Newbee-mall: até a versão 1.0.0, inclusive.
- O registro não informa versão corrigida.
Status de exploração
A CVE não consta no catálogo KEV da CISA no registro, portanto a exploração ativa não está confirmada. Não há exploração confirmada nas fontes consultadas. A referência de issue no GitHub tem uma etiqueta relacionada a exploit, mas esta análise não descreve nenhum método de exploração.
Correção e mitigação
- O registro não traz versão corrigida. Trate isso como informação desconhecida, e não como prova de que não existe correção.
- Consulte o rastreador de issues do fornecedor para atualizações antes de escolher o caminho de atualização.
- Planeje a migração das senhas armazenadas para uma função de hash com salt e lenta, e exija redefinição de senha para contas cujos hashes possam ter sido expostos.
- Restrinja o acesso a dumps e backups de banco de dados e criptografe-os em repouso.
Orientações de detecção
- Monitore leituras em massa incomuns de tabelas de usuários ou exportações inesperadas do banco de dados.
- Revise logs de acesso ao armazenamento de backups e anomalias de autenticação em contas de usuários.
Limitações das informações disponíveis
- O registro não descreve a estrutura do código nem os caminhos de código exatamente afetados.
- Nenhuma versão corrigida, patch ou declaração do fornecedor consta no registro.
- A probabilidade EPSS é 0,0032, mas um valor baixo não descarta a quebra offline após a exposição dos hashes.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-26219?
O newbee-mall armazena e verifica senhas com MD5 sem salt e sem controles de custo computacional, o que torna rápida a recuperação offline de hashes de senha expostos. A fraqueza é classificada como CWE-327.
Existe versão corrigida disponível?
O registro não informa versão corrigida. A disponibilidade de correção é desconhecida, então consulte o rastreador de issues do fornecedor e as atualizações do projeto.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.