CVE-2026-29204: WHMCS: bypass de autorização via addonId na área do cliente

Visão geral

A CVE-2026-29204 é uma verificação de propriedade insuficiente na área do cliente do WHMCS, especificamente no manipulador clientarea.php. A fraqueza é classificada como CWE-639, bypass de autorização por meio de chave controlada pelo usuário (IDOR). De acordo com o registro, um usuário autenticado da área do cliente pode enviar requisições que referenciam o addonId de outro usuário sem nenhuma validação de propriedade.

Impacto

O registro afirma que a falha leva a acesso não autorizado à conta da vítima.
A pontuação do CNA é 9,1 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, o que corresponde a alto impacto em confidencialidade e integridade e sem necessidade de interação do usuário.
Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.

Produtos e versões afetadas

O registro lista o WebPros WHMCS nas seguintes faixas:

7.4.0 até 18.12.2 (inclusive)
18.13.0 até antes de 18.13.3
9.0.0 até antes de 9.0.4

O registro não traz lista de versões corrigidas. Confirme a versão exata de correção para o seu ramo na página de aviso da WHMCS antes de considerar qualquer versão segura.

Status de exploração

Neste registro, a CVE não consta no catálogo KEV da CISA, portanto não é reportada ali como explorada ativamente. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00451, com percentil de 0,37455, e o campo de exploração SSVC está registrado como none.

Correção e mitigação

Priorize a aplicação de correções: revise a página de aviso da WHMCS e migre cada instalação para uma versão fora das faixas afetadas.
Inventário: identifique todas as instâncias do WHMCS e suas versões exatas, incluindo os ramos 7.x, 9.0.x e 18.x.
Medidas provisórias: limite cadastros na área do cliente quando as regras de negócio permitirem e revise contas com atividade incomum de addons até que as correções sejam aplicadas.
Verifique após a atualização: confirme a versão instalada e se a verificação de propriedade está sendo aplicada aos identificadores de addons.

Orientação para detecção

Revise os logs do servidor web e da aplicação WHMCS em busca de requisições ao clientarea.php que referenciem valores de addonId não associados à conta da sessão autenticada.
Procure atividade de conta, como alterações de dados cadastrais ou acesso a serviços, vinda de endereços IP ou sessões inesperadas logo após tais requisições.
Gere alertas para requisições repetidas que alterem identificadores a partir de uma mesma sessão de cliente, o que pode indicar enumeração de objetos de outros clientes.

Limitações das informações disponíveis

O registro não contém versão corrigida, diferença de patch nem análise técnica detalhada além da descrição.
O status da fonte é Deferred, e o registro não inclui narrativa de análise do NVD.
A data do EPSS no registro é posterior à data de publicação; trate esse campo com cautela.
A referência do fabricante não foi revisada integralmente para esta análise, por isso versões corrigidas e eventuais contornos devem ser confirmados nela.

Perguntas frequentes

Qual é a fraqueza central da CVE-2026-29204?

O registro descreve uma verificação de propriedade insuficiente em clientarea.php. Um usuário autenticado da área do cliente pode referenciar o addonId de outro usuário sem que a aplicação valide se o objeto pertence a ele.

Quais versões do WHMCS o registro lista como afetadas?

O registro lista de 7.4.0 até 18.12.2 inclusive, 18.13.0 até antes de 18.13.3 e 9.0.0 até antes de 9.0.4. Confirme as versões corrigidas na página de aviso da WHMCS.

Esta CVE é conhecida por ser explorada ativamente?

Ela não consta no catálogo KEV da CISA neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.