CVE-2026-41571: Bypass de autenticação no Note Mark por verificação de senha com valor padrão
As versões do Note Mark descritas como afetadas recorrem a um valor padrão fixo na comparação de senhas para contas sem senha armazenada, incluindo contas criadas via OIDC. Segundo o registro, isso pode permitir obter uma sessão válida sem autenticação e sem interação do usuário, com pontuação CVSS 9.4 atribuída pela fonte GitHub. O registro indica que a correção está na versão 0.19.3.
Visão geral
O Note Mark é um aplicativo de anotações de código aberto. O registro descreve uma falha na lógica de comparação de senhas em backend/db/models.go: quando um usuário não possui senha armazenada, a verificação recorre a um valor padrão fixo. Contas registradas via OIDC são criadas com senha vazia, o que as coloca nessa condição.
Impacto
O registro indica que um agente não autenticado poderia obter uma sessão válida para contas de usuário afetadas, sem interação do usuário. A fraqueza é classificada como CWE-287 (Autenticação Inadequada). A pontuação CVSS 9.4, atribuída pela fonte GitHub, reflete acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.
Produtos e versões afetados
A descrição identifica a versão 0.19.2 como afetada e a versão 0.19.3 como a versão corrigida. Os campos estruturados de afetados e correções no registro estão vazios, por isso a faixa completa de versões afetadas não é confirmada pelos dados disponíveis.
Status de exploração
O registro mostra que esta CVE não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados de EPSS do registro indicam probabilidade de 0,00477 e percentil de 0,3945.
Correção e mitigação
- Atualize o Note Mark para a versão 0.19.3, conforme indicado na página de lançamento do projeto.
- Revise contas criadas via OIDC que não possuam senha armazenada e verifique sessões inesperadas.
- Após a atualização, considere invalidar sessões existentes de contas que possam ter sido expostas, como inferência a partir da natureza da falha.
- Restrinja a exposição de rede do endpoint de login de instâncias não corrigidas até que a atualização seja aplicada.
Orientações de detecção
- Revise os logs de autenticação em busca de logins bem-sucedidos em contas sem senha definida, sobretudo de origens incomuns.
- Procure eventos de criação de sessão que não sejam precedidos por troca normal de credenciais.
- Correlacione novas sessões com eventos de criação de contas OIDC para identificar padrões incomuns.
Limitações das informações disponíveis
O registro não inclui análise técnica detalhada do fornecedor, a faixa exata de versões afetadas nem confirmação de que versões anteriores também são impactadas. O campo de título está ausente no registro de origem. Configurações específicas de implantação que possam alterar a exposição são desconhecidas.
Perguntas frequentes
Qual versão do Note Mark corrige o problema?
O registro indica que o problema foi corrigido na versão 0.19.3, e identifica a versão 0.19.2 como afetada.
Há registro de exploração conhecida?
O registro mostra que a CVE não está listada no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais contas são descritas como afetadas?
Segundo a descrição, contas registradas via OIDC são criadas com senha vazia e são o caso descrito no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.