CVE-2026-39912: Exposição de token de autenticação no loginWithMailLink do V2Board e Xboard
O V2Board de 1.6.1 até 1.7.4 e o Xboard até 0.1.9 retornam tokens de autenticação nos corpos de resposta HTTP do endpoint loginWithMailLink quando o recurso login_with_mail_link_enable está ativo. O registro indica que uma parte não autenticada que conheça um endereço de e-mail poderia obter um token que leva a acesso completo à conta, incluindo privilégios administrativos. Não há exploração confirmada nas fontes consultadas, e o registro não informa faixas de versões afetadas nem versões corrigidas.
Visão geral
V2Board e Xboard são aplicações de painel que incluem um recurso de login por link enviado por e-mail. De acordo com o registro, quando login_with_mail_link_enable está ativo, o endpoint loginWithMailLink inclui na resposta HTTP a URL de autenticação completa, com o token. A fraqueza é classificada como CWE-201, Inserção de Informações Sensíveis em Dados Enviados. Fontes: NVD e aviso da VulnCheck.
Impacto
- O registro indica que uma parte não autenticada pode obter um token de autenticação, o que leva a acesso completo à conta, incluindo privilégios administrativos.
- A pontuação base CVSS 3.1 é 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, indicando alto impacto na confidencialidade e na integridade pela rede e sem privilégios.
- A CNA também informa uma pontuação CVSS 4.0 de 9.1.
Produtos e versões afetadas
- V2Board de 1.6.1 até 1.7.4, conforme declarado no registro.
- Xboard até 0.1.9, conforme declarado no registro.
- A lista estruturada de afetados está vazia, por isso não foi possível confirmar faixas oficiais de versões a partir dos dados estruturados. Os operadores devem verificar a versão instalada nas fontes do fornecedor e do projeto indicadas abaixo.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro, portanto nenhuma exploração ativa é confirmada pelo KEV.
- Não há exploração confirmada nas fontes consultadas.
- A probabilidade EPSS registrada é 0.00699, com percentil de 0.51886.
Correção e mitigação
- Verifique se o recurso de login por link de e-mail está habilitado e desative login_with_mail_link_enable caso ele não seja necessário.
- Analise o commit e o pull request do Xboard listados nas referências e aplique as mudanças upstream do projeto. O registro não informa qual versão contém a correção.
- Após aplicar as mudanças, renove sessões e tokens das contas que possam ter usado o login por link de e-mail, especialmente contas de administrador.
- Restrinja o acesso à interface administrativa do painel sempre que possível.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao endpoint loginWithMailLink, especialmente de origens inesperadas ou em volumes incomuns.
- Monitore ações administrativas realizadas a partir de sessões ou endereços IP desconhecidos.
- Audite logins recentes em contas de administrador e compare-os com a atividade conhecida dos usuários.
Limitações das informações disponíveis
- O registro não contém dados estruturados de versões afetadas ou corrigidas.
- O registro não confirma qual versão inclui a primeira correção.
- O status da fonte é Deferred, e o registro foi montado a partir das referências listadas, que podem mudar conforme o aviso for atualizado.
Perguntas frequentes
Quais produtos o CVE-2026-39912 afeta?
De acordo com o registro, o V2Board de 1.6.1 até 1.7.4 e o Xboard até 0.1.9 são afetados quando o recurso login_with_mail_link_enable está ativo. A lista estruturada de afetados está vazia, então confirme sua versão nas fontes do projeto.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA neste registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.