CVE-2026-42193: Plunk: ausência de verificação de assinatura em webhook SNS
As versões do Plunk anteriores à 0.9.0 aceitam payloads de notificação do Amazon SNS no endpoint /webhooks/sns sem verificar a assinatura SNS, o certificado ou o ARN do tópico. Segundo o aviso, isso permite forjar eventos SNS sem autenticação, com possíveis efeitos sobre fluxos de automação, contatos, métricas de entrega e faturamento. O problema foi corrigido na versão 0.9.0, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Plunk é uma plataforma de e-mail de código aberto construída sobre o AWS SES. Segundo o registro, as versões anteriores à 0.9.0 expõem um endpoint /webhooks/sns que aceita payloads de notificação do Amazon SNS sem verificar a assinatura SNS, o certificado ou o ARN do tópico. A fraqueza é classificada como CWE-347, Verificação imprópria de assinatura criptográfica.
Impacto
- Requisições de webhook forjadas podem parecer válidas para a aplicação.
- A descrição indica possíveis efeitos: acionar automações de fluxo de trabalho, cancelar a inscrição de contatos, manipular métricas de entrega de e-mail e, potencialmente, esgotar créditos de faturamento.
- O registro informa pontuação CVSS 3.1 de 9.1 (crítica), emitida pelo CNA do GitHub. O vetor registrado indica ausência de impacto na confidencialidade e alto impacto na integridade e na disponibilidade.
Produtos e versões afetadas
- Produto: Plunk (useplunk/plunk).
- Versões: anteriores à 0.9.0, segundo a descrição.
- Os campos estruturados de versões afetadas e correções estão vazios no registro. Trata-se de lacuna de dados, não de evidência de que nenhuma versão seja afetada.
- Corrigido na versão 0.9.0, segundo a descrição e a página de release.
Status de exploração
O CISA KEV não lista este CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro mostra probabilidade EPSS de 0.00205, com percentil de 0.0971.
Correção e mitigação
- Atualize o Plunk para a versão 0.9.0 ou posterior.
- Consulte o aviso de segurança do GitHub para orientações do mantenedor.
- Até a atualização, limite a exposição pública do endpoint de webhook sempre que operacionalmente viável. Esta é uma sugestão defensiva baseada na descrição.
- Revise execuções recentes de fluxos, eventos de cancelamento de inscrição e métricas de entrega em busca de anomalias que possam indicar eventos forjados.
Orientações de detecção
- Monitore os logs do endpoint de webhook em busca de requisições no formato SNS que não correspondam à atividade esperada do SES.
- Compare os volumes de eventos registrados pela aplicação com os do console do AWS SES para identificar divergências.
- Observe aumentos inesperados em cancelamentos, devoluções ou reclamações.
Limitações das informações disponíveis
- O registro não inclui dados estruturados de versões afetadas ou corrigidas.
- Não descreve implantações afetadas, detalhes de prova de conceito nem se houve algum incidente.
- Os dados de CVSS vêm do registro do CNA do GitHub. O registro não inclui uma pontuação separada do NVD.
- O registro indica data de publicação de 2026-05-08.
Perguntas frequentes
Essa vulnerabilidade do Plunk está sendo explorada ativamente?
O CISA KEV não lista o CVE-2026-42193, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
Segundo a descrição e a página de release, a versão 0.9.0 contém a correção. As versões anteriores são descritas como afetadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.