CVE-2026-29200: IDOR no WebPros Comet Backup permite personificação de usuários entre tenants
A CVE-2026-29200 é uma falha IDOR crítica no WebPros Comet Backup, com pontuação base CVSS v4.0 de 9,9 registrada. Segundo o registro, um administrador de tenant pode se passar por contas de usuários finais de outros tenants no mesmo servidor por meio de uma chamada de API vulnerável. As fontes consultadas não mostram inclusão no catálogo KEV nem exploração ativa confirmada.
Visão geral
A CVE-2026-29200 é uma falha crítica de referência direta insegura a objeto (IDOR) no WebPros Comet Backup, classificada como CWE-639. Segundo o registro, um administrador de tenant pode acessar contas de usuários finais que pertencem a outros tenants no mesmo servidor por meio de uma chamada de API vulnerável, o que sugere que o servidor não verifica se o objeto solicitado pertence ao tenant de quem faz a chamada.
Impacto
- O registro descreve a personificação de contas de usuários finais atravessando os limites entre tenants em um servidor compartilhado.
- O vetor CVSS v4.0 do registro indica alto impacto na confidencialidade e na integridade do sistema vulnerável, além de alto impacto em um sistema subsequente. A pontuação base listada é 9,9.
- As consequências práticas dependem de como o produto utiliza as sessões personificadas, algo que o registro não descreve.
Produtos e versões afetadas
- Produto: WebPros Comet Backup.
- Intervalos afetados listados no registro: de 20.11.0 até antes de 26.1.2, e de 26.2.0 até antes de 26.2.2.
- A descrição menciona todas as versões de 20.11.0 a 26.1.1 e 26.2.1, o que é coerente com os intervalos acima.
- O registro não contém versões corrigidas explícitas. Consulte o artigo de suporte do fornecedor citado nas referências antes de definir a versão de atualização.
Status de exploração
- O registro não indica que esta CVE esteja no catálogo KEV da CISA.
- Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- A exploração no SSVC está registrada como none, e a automatização como yes.
- A probabilidade EPSS é 0,0046, com percentil de 0,38178, conforme registrado em 2026-10-13. O EPSS estima a probabilidade de exploração e não confirma que ela tenha ocorrido.
Correção e mitigação
- Identifique todas as instalações do Comet Backup e compare as versões com os intervalos afetados acima.
- Planeje a atualização para uma versão fora dos intervalos afetados, seguindo a orientação do fornecedor. Confirme com o fornecedor a versão exata corrigida, pois o registro não a informa.
- Até a correção, limite as contas de administrador de tenant ao mínimo necessário e revise quem possui esse papel em servidores compartilhados.
- Restrinja o acesso à API de gerenciamento a redes administrativas confiáveis, quando operacionalmente viável.
- Revise as premissas de isolamento entre tenants junto ao fornecedor e na sua própria configuração.
Orientações de detecção
- Analise logs de auditoria e autenticação em busca de sessões em que um administrador atue sob identidade de usuário final, especialmente identidades de outros tenants.
- Procure atividade administrativa na API que referencie objetos fora do tenant do próprio chamador.
- Correlacione trocas incomuns de contexto de conta com chamados de mudança e atividades administrativas conhecidas.
- Preserve logs anteriores à correção para permitir uma revisão posterior.
Limitações das informações disponíveis
- O registro não possui título em inglês, portanto o título aqui foi derivado da descrição.
- Não há versões corrigidas listadas, e o texto do aviso do fornecedor não está incluído no registro.
- O vetor define privilégios necessários como nenhum, enquanto a descrição exige um administrador de tenant. O registro não explica essa diferença, então os pré-requisitos reais não estão claros.
- Os detalhes técnicos da chamada de API vulnerável não são fornecidos, e esta análise não os descreve.
- As informações podem mudar à medida que o fornecedor e a CNA atualizarem seus registros.
Perguntas frequentes
Quais versões do Comet Backup são afetadas?
O registro lista versões de 20.11.0 até antes de 26.1.2, e de 26.2.0 até antes de 26.2.2. A descrição indica 26.1.1 e 26.2.1 como últimas versões afetadas nesses intervalos.
Há exploração conhecida desta vulnerabilidade?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Isso pode mudar, então verifique fontes atualizadas.
O que os administradores devem fazer agora?
Inventarie as instalações, compare as versões com os intervalos listados, siga a orientação do fornecedor para atualização e reduza o acesso de administradores de tenant até que uma versão corrigida seja aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.