CVE-2026-42160: Data Space Portal: autorização insuficiente em contas autorregistradas

Visão geral

O GitHub Security Advisory GHSA-989g-wpfv-6vxx, publicado para o projeto dataspace-portal da sovity, descreve autorização insuficiente no backend do Data Space Portal. A fraqueza envolve contas de organização e de usuário autorregistradas que ainda estão no estado PENDING. Segundo o registro, o problema afeta as versões desde a 2.1.1 até antes da 7.3.2 e foi corrigido na 7.3.2.

Impacto

O registro informa que a autorização é insuficiente para contas PENDING autorregistradas, o que sugere que essas contas podem alcançar funções restritas a contas aprovadas (inferência).
O vetor CVSS 4.0 fornecido com o registro indica impactos altos de confidencialidade e integridade no sistema vulnerável e impacto baixo de disponibilidade (fato confirmado pelos componentes do vetor).
O identificador CWE atribuído é o CWE-602. O registro não traz o nome do CWE, por isso a classificação exata deve ser conferida na fonte oficial do CWE.

Produtos e versões afetadas

Produto: Data Space Portal (dataspace-portal da sovity), descrito como solução SaaS de código aberto para gestão de dataspaces.
Faixa afetada informada no registro: desde a 2.1.1 até antes da 7.3.2.
Versão corrigida informada no registro: 7.3.2, com tag de release referenciada no projeto do GitHub.
Os campos estruturados de afetados e correções estão vazios no registro, então a faixa acima vem apenas da descrição e das referências.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível afirmar exploração ativa confirmada com base no KEV. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00421, com percentil 0,34697, o que indica, segundo esse modelo, baixa estimativa de exploração no curto prazo.

Correção e mitigação

Atualize o Data Space Portal para a versão 7.3.2 ou posterior, que o registro identifica como a release corrigida.
Consulte as notas de release e o advisory do GitHub para instruções de atualização e eventuais passos adicionais.
Enquanto a atualização não for concluída, considere restringir ou pausar o autorregistro e revisar como as contas PENDING são tratadas. O registro não descreve um workaround formal, por isso trata-se de medida defensiva geral (inferência).

Orientações de detecção

Inventarie todas as instâncias em execução do Data Space Portal e confirme suas versões em relação à faixa de 2.1.1 a 7.3.2.
Revise a lista de contas e organizações em estado PENDING em busca de registros inesperados ou criados sem motivo de negócio conhecido.
Revise os logs de acesso do backend quanto à atividade de contas PENDING em funções administrativas ou não públicas, com foco em padrões de acesso inesperados em nível geral.

Limitações das informações disponíveis

O registro não lista endpoints, funções ou condições de exploração específicas além da descrição geral.
Os campos estruturados de afetados e correções estão vazios; as informações de versão vêm da descrição.
O status da fonte é Deferred, e o registro não traz entrada no KEV da CISA nem informações sobre ransomware.
A data do EPSS no registro (2026-10-13) deve ser verificada nos dados atuais do EPSS antes de ser usada.

Perguntas frequentes

Quais versões do Data Space Portal são afetadas pela CVE-2026-42160?

Segundo o registro, são afetadas as versões desde a 2.1.1 até antes da 7.3.2. O campo estruturado de afetados está vazio, então essa faixa vem da descrição.

Qual é a correção recomendada?

O registro identifica a versão 7.3.2 como a release corrigida. Atualizar para a 7.3.2 ou posterior é o passo defensivo recomendado, e o advisory do GitHub deve ser consultado para detalhes.

Esta CVE é conhecida por ser explorada ativamente?

O catálogo KEV da CISA não a lista neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.