CVE-2026-42155: OpenMage Magento-lts: IDs de sessão de API previsíveis (CWE-330)
As versões do OpenMage Magento-lts anteriores à 20.18.0 geram IDs de sessão das APIs XML-RPC e SOAP com uma construção baseada em tempo e MD5, em vez de um gerador criptograficamente seguro, classificado como CWE-330. O CNA classificou a falha como crítica, com pontuação CVSS 4.0 de 9.3, e o registro informa que ela foi corrigida na 20.18.0. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O OpenMage Magento-lts (Magento LTS) é uma alternativa mantida pela comunidade à edição Community do Magento. Segundo o registro do CNA, o identificador de sessão usado pelas APIs XML-RPC e SOAP é construído com uma abordagem antiga, baseada em tempo, em vez de um gerador aleatório criptograficamente seguro, o que corresponde ao CWE-330.
Impacto
- Os identificadores de sessão da API podem ser previsíveis, o que enfraquece a confidencialidade e a integridade das sessões.
- O registro indica que o estado interno previsível, somado à ausência de limitação de taxa na API, poderia permitir que um atacante adivinhe identificadores de sessão ativos por meio de tentativas online.
- O CNA atribuiu pontuação CVSS 4.0 base de 9.3 (crítica), com alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.
Produtos e versões afetados
- Produto: OpenMage Magento-lts.
- Versões afetadas: as anteriores à 20.18.0, conforme o registro.
- O campo estruturado de versão corrigida está vazio, mas a descrição informa que o problema foi corrigido na 20.18.0.
Status de exploração
- O CISA KEV não lista este CVE nos dados consultados.
- Não há exploração confirmada na natureza nas fontes consultadas.
- O valor de exploração do SSVC está registrado como poc, que indica um estado de prova de conceito e não confirma exploração.
- A probabilidade EPSS registrada é 0.00486, com percentil de 0.40139.
Correção e mitigação
- Atualize o OpenMage Magento-lts para a versão 20.18.0 ou superior, conforme informado no registro.
- Consulte o aviso de segurança do GitHub GHSA-2cwr-gcf9-pvxr para orientações do fornecedor.
- Até a atualização, limite a exposição de rede dos endpoints das APIs XML-RPC e SOAP a origens confiáveis.
- Após a atualização, considere invalidar as sessões de API existentes como medida de precaução.
Orientações de detecção
- Analise os logs de acesso à API em busca de volumes incomuns de requisições de sessão ou autenticação a partir de uma mesma origem.
- Observe sessões de API bem-sucedidas originadas de endereços inesperados ou em horários atípicos.
- Monitore picos de tentativas de sessão malsucedidas, já que o registro indica ausência de limitação de taxa na API.
Limitações das informações disponíveis
- O registro não fornece um campo estruturado de versão corrigida nem uma lista detalhada de versões afetadas além da faixa anterior à 20.18.0.
- As condições em que o estado interno do gerador pseudoaleatório poderia ser exposto não são descritas em detalhes.
- O registro tem status de fonte adiado, e a única referência listada é o aviso do fornecedor.
Perguntas frequentes
Quais versões do OpenMage Magento-lts são afetadas?
Segundo o registro, são afetadas as versões anteriores à 20.18.0. A descrição informa que o problema foi corrigido na 20.18.0.
Há exploração conhecida desta vulnerabilidade na natureza?
O CISA KEV não lista este CVE, e não há exploração confirmada nas fontes consultadas. O valor poc do SSVC indica estado de prova de conceito, não exploração confirmada.
O que os administradores devem fazer primeiro?
Atualizar para a 20.18.0 ou superior, consultar o aviso do fornecedor e restringir o acesso de rede aos endpoints das APIs XML-RPC e SOAP até a conclusão da atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.