CVE-2026-42571: Escalonamento de privilégios para admin na WebUI do Pelican via OAuth
A CVE-2026-42571 é uma falha crítica de escalonamento de privilégios (CWE-863, Autorização Incorreta) na interface web de usuário do Pelican, plataforma para criação de federações de dados. Segundo o registro, qualquer usuário autenticado na WebUI via OAuth pode obter privilégios de administrador em determinadas configurações. O problema foi corrigido nas versões 7.21.5, 7.22.3, 7.23.3 e 7.24.2, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-42571 afeta a interface web de usuário do Pelican, plataforma para criação de federações de dados. O registro a classifica como Autorização Incorreta (CWE-863) e informa uma pontuação CVSS 4.0 de 9, considerada crítica, atribuída pelo CNA GitHub Security Advisories. O aviso está disponível em GHSA-rpfr-x88x-xwcw.
Impacto
- Qualquer usuário autenticado na WebUI via OAuth pode obter privilégios de administrador em determinadas configurações.
- O vetor CVSS 4.0 presente no registro indica vetor de ataque pela rede, baixo nível de privilégio exigido e alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
- As configurações específicas que habilitam a escalada não são descritas no registro.
Produtos e versões afetados
- Produto: Pelican, componente WebUI.
- Faixas afetadas segundo o registro:
- 7.21.0 até antes de 7.21.5
- 7.22.0 até antes de 7.22.3
- 7.23.0 até antes de 7.23.3
- 7.24.0 até antes de 7.24.2
- Versões corrigidas indicadas no registro: 7.21.5, 7.22.3, 7.23.3 e 7.24.2.
Situação de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS informada é 0,00396 (percentil 0,31954), mas a data EPSS do registro é posterior à data de publicação, então esse valor deve ser interpretado com cautela.
Correção e mitigação
- Atualize para 7.21.5, 7.22.3, 7.23.3 ou 7.24.2, conforme a sua linha de release.
- Enquanto a atualização não é concluída, restrinja o acesso à WebUI a usuários e redes de confiança e revise quais provedores de identidade podem autenticar via OAuth.
- Audite as contas de administrador e as atribuições de papéis atuais em busca de concessões inesperadas.
- Consulte o commit referenciado e o aviso para detalhes da alteração.
Orientações de detecção
- Revise os logs da WebUI e de autenticação em busca de alterações de papel ou permissão, especialmente elevações para administrador feitas por contas não administrativas.
- Monitore a criação de contas administrativas novas ou de identidades vinculadas ao OAuth que ganhem direitos de administrador.
- Gere alertas para mudanças de configuração que afetem autenticação ou autorização.
Limitações das informações disponíveis
- O registro não especifica quais configurações habilitam a escalada, por isso a exposição não pode ser determinada apenas com ele.
- O registro não informa se versões anteriores a 7.21.0 ou outras linhas de release são afetadas.
- O registro contém apenas a pontuação CVSS do CNA GitHub; não há pontuação do NVD.
- A relação entre o commit referenciado e a correção não é declarada explicitamente no registro.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões do Pelican são corrigidas?
Segundo o registro, o problema foi corrigido nas versões 7.21.5, 7.22.3, 7.23.3 e 7.24.2, conforme a linha de release.
Quem deve se preocupar?
Implantações que usam a WebUI do Pelican com autenticação OAuth nas faixas de versão afetadas devem avaliar sua exposição, embora o registro não especifique quais configurações habilitam a escalada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.