CVE-2026-27012: Escalonamento de privilégios não autenticado no OpenSTAManager via modules/utenti/actions.php
Uma falha sem autenticação no OpenSTAManager, que afeta a versão 2.9.8 e anteriores, permite que qualquer pessoa altere o grupo de um usuário ao chamar diretamente modules/utenti/actions.php. Um atacante poderia promover contas ao grupo Amministratori ou rebaixar administradores existentes. O registro informa pontuação base CVSS de 9.8 e não lista versão corrigida.
Visão geral
O OpenSTAManager é um software de gestão de código aberto para assistência técnica e faturamento. O registro descreve uma falha de ausência de autenticação (CWE-306) em modules/utenti/actions.php que permite a um atacante não autenticado alterar o grupo de um usuário.
Impacto
- Um atacante pode promover uma conta existente, como uma chamada agent, ao grupo Amministratori.
- Um atacante pode rebaixar qualquer usuário, inclusive administradores existentes.
- A pontuação base CVSS de 9.8 (crítica) reflete alcance pela rede, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade, conforme informado no registro.
Produtos e versões afetados
- O registro lista Devcode Openstamanager e Devcode-it Openstamanager, com a versão 2.9.8 e anteriores afetadas.
- Nenhuma versão corrigida está listada no registro. Isso não significa que não exista correção; significa que as fontes consultadas não a informam.
Situação de exploração
- Segundo o registro, esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.
- O campo de exploração do SSVC está registrado como poc (prova de conceito), e uma referência está marcada como Exploit. Isso sugere que pode haver material público relacionado à exploração, mas o registro não confirma seu uso em ataques.
Correção e mitigação
- Atualize para uma versão posterior à 2.9.8 publicada pelo mantenedor, após consultar o aviso do fornecedor.
- Até que a correção seja aplicada, restrinja o acesso à aplicação administrativa a redes confiáveis, quando possível.
- Revise a participação em grupos de todas as contas, especialmente administradores e contas como agent, e restaure os papéis esperados.
Orientações de detecção
- Audite alterações na atribuição de grupos de usuários e compare-as com uma linha de base aprovada.
- Analise os logs do servidor web em busca de requisições a modules/utenti/actions.php vindas de origens inesperadas ou sem sessão válida, e correlacione-as com alterações de contas.
- Verifique a existência de vínculos de administrador novos ou inesperados.
Limitações das informações disponíveis
- O registro não informa versão corrigida, detalhes de patch nem medidas alternativas além do link do aviso.
- Não se sabe se determinada implantação está acessível pela internet.
- A probabilidade EPSS de 0.00685 (percentil 0.5208) é uma estimativa estatística e não confirma exploração.
Perguntas frequentes
O que a CVE-2026-27012 permite a um atacante fazer?
Segundo o registro, um atacante não autenticado pode alterar o grupo de um usuário chamando diretamente modules/utenti/actions.php. Isso pode promover contas ao grupo Amministratori ou rebaixar administradores existentes.
Quais versões são afetadas?
O registro indica que o OpenSTAManager na versão 2.9.8 e anteriores é afetado. Nenhuma versão corrigida está listada no registro.
Esta vulnerabilidade está sendo explorada ativamente?
Segundo o registro, a CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas. O valor de exploração do SSVC é poc, que indica status de prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.