CVE-2026-39399: NuGet Gallery: validação de entrada insuficiente permite sobrescrita arbitrária de blobs

Visão geral

A CVE-2026-39399 é registrada para o NuGet Gallery, o repositório de pacotes que sustenta o nuget.org. O registro descreve validação de entrada insuficiente (CWE-20) no modo como o job de backend do NuGetGallery processa arquivos .nuspec dentro de pacotes NuGet. O aviso upstream é o GHSA-9r3h-v4hx-rhfr e o commit de correção está em 0e80f876.

Impacto

Segundo o registro, a falha pode levar a injeção de metadados entre pacotes, o que pode resultar em execução remota de código e/ou gravações arbitrárias de blobs. As gravações são descritas como não limitadas a arquivos .nupkg, de modo que conteúdo existente no container de armazenamento poderia ser adulterado. O registro atribui pontuação base CVSS v3.1 de 9.6, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H. Pela leitura do vetor, os impactos em integridade e disponibilidade são altos, o impacto em confidencialidade é nulo e o escopo é alterado; essa é uma interpretação do vetor, não uma afirmação separada das fontes.

Produtos e versões afetados

NuGet NuGetGallery, listado no registro como versões anteriores ao commit 0e80f87628349207cdcaf55358491f8a6f1ca276.
O registro não informa um número de versão lançada para a correção, e a lista de correções está vazia.
Operadores devem comparar a versão implantada com o histórico de commits do repositório vinculado.

Status de exploração

A entrada não consta no catálogo KEV, e o valor SSVC de exploração no registro é none. A probabilidade EPSS é 0.00821, com percentil 0.5615. Nas fontes consultadas não há exploração confirmada na natureza.

Correção e mitigação

Atualize as implantações do NuGet Gallery para uma versão que inclua o commit 0e80f87628349207cdcaf55358491f8a6f1ca276, seguindo o aviso do GitHub.
Operadores que mantêm instâncias próprias devem restringir as permissões de escrita do job de backend no container de armazenamento ao mínimo necessário.
Até a correção, avalie com cuidado a ingestão de pacotes de fontes não confiáveis e limite quem pode publicar pacotes na instância.

Orientações de detecção

Revise os logs de ingestão em busca de pacotes com metadados nuspec incomuns ou inesperados.
Monitore o container de armazenamento quanto a alterações em objetos que não sejam arquivos .nupkg, já que o registro diz que as gravações não se limitam a esse tipo.
Gere alertas para alterações inesperadas em blobs existentes durante o processamento de pacotes.

Limitações das informações disponíveis

O registro está em status Awaiting Analysis e não contém pontuações além dos provedores listados. Não há detalhes técnicos além da descrição, nem versão corrigida lançada ou evidência de exploração. Não se confirma se o serviço hospedado nuget.org foi afetado nem quando a correção foi implantada ali. A data EPSS do registro é posterior à data de publicação e deve ser verificada na fonte.

Perguntas frequentes

O que é a CVE-2026-39399?

É uma falha crítica de validação de entrada insuficiente no NuGet Gallery, software que sustenta o nuget.org, relacionada ao processamento de arquivos .nuspec pelo job de backend. O registro a associa a gravações arbitrárias em blobs e possível execução remota de código.

Há exploração conhecida dessa vulnerabilidade?

Não. A falha não consta no catálogo KEV da CISA, o valor SSVC de exploração está registrado como none e não há exploração confirmada nas fontes consultadas.

Como os operadores devem responder?

Atualize para uma versão que inclua o commit 0e80f87628349207cdcaf55358491f8a6f1ca276, restrinja as permissões de escrita do job de backend no container de armazenamento e monitore alterações inesperadas nos objetos armazenados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.