CVE-2026-37106: DokuWiki: criação de contas pela função de registro (contestada)

Visão geral

A CVE-2026-37106 descreve um problema relatado no DokuWiki 2025-05-14b "Librarian" 56.2, no qual um atacante remoto pode criar uma conta pela função register em inc/auth.php. O registro da CNA indica pontuação base CVSS 3.1 de 9.8 (crítica). O fornecedor contesta o relato, afirmando que a criação de contas é comportamento previsto quando o autorregistro está habilitado, recurso não padrão.

Impacto

• Se o autorregistro estiver habilitado, um usuário remoto sem autenticação poderia obter uma conta, o que pode liberar recursos reservados a usuários autenticados, dependendo das permissões configuradas no wiki.
• O vetor CVSS do registro descreve alcance pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade, conforme avaliado pela CNA.
• Inferência: o impacto prático depende fortemente de o autorregistro estar habilitado. A pontuação crítica pode não refletir implantações em que o recurso está desativado.

Produtos e versões afetados

• A descrição menciona o DokuWiki 2025-05-14b "Librarian" 56.2.
• A lista de produtos afetados do registro está vazia, portanto não há intervalo estruturado de versões.
• Desconhecido: se outras versões são afetadas.
• O CWE listado é CWE-640 (Weak Password Recovery Mechanism). Essa classificação não corresponde claramente a uma descrição de criação de contas, por isso deve ser verificada nos registros da CNA e do NVD.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro inclui uma probabilidade EPSS, que é baixa.

Correção e mitigação

• Nenhuma versão corrigida é listada no registro. A ausência de correção listada não significa que ela não exista; consulte o repositório do DokuWiki para atualizações.
• Enquanto a posição não for esclarecida, administradores devem confirmar se o autorregistro está habilitado e desativá-lo caso não seja necessário.
• Revise contas de usuário e atribuições de permissão, especialmente contas criadas recentemente.
• Mantenha o wiki em versões suportadas e siga as orientações do projeto.

Orientações de detecção

• Revise a lista de usuários do wiki em busca de contas criadas fora dos fluxos administrativos.
• Monitore os logs do servidor web em busca de atividade de registro vinda de origens inesperadas, em nível geral.
• Verifique a configuração de autorregistro após atualizações ou migrações, embora o fornecedor afirme que a migração não o ativa silenciosamente.

Limitações das informações disponíveis

• O registro está com status "Awaiting Analysis".
• A contestação do fornecedor significa que o status do problema é disputado, e o registro não contém verificação independente do comportamento.
• O registro não contém dados de versões afetadas ou corrigidas, e o mapeamento CWE pode não corresponder à descrição.
• O gist referenciado consta no registro, mas seu conteúdo não foi utilizado.

Perguntas frequentes

A CVE-2026-37106 está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Por que a gravidade é contestada?

O fornecedor afirma que a criação de contas é comportamento previsto quando o autorregistro está habilitado, configuração não padrão, e que migrações não o ativam sem o conhecimento dos administradores.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.