CVE-2026-42889: Bypass de autenticação em endpoints WebSocket do Relay Server

Visão geral

O Relay Server é o backend do Relay, uma ferramenta de colaboração em tempo real para o Obsidian. A CVE-2026-42889 descreve um bypass de autenticação nos endpoints WebSocket de múltiplos documentos, classificado como CWE-639 (bypass de autorização por meio de chave controlada pelo usuário). Segundo o registro, a falha afeta o Relay Server das versões 0.9.0 até 0.9.6 e está corrigida na versão 0.9.7.

Impacto

Um atacante de rede não autenticado que conheça ou adivinhe um ID de documento poderia se conectar ao WebSocket de sincronização de documentos.
O registro indica que essa conexão poderia ler ou modificar o conteúdo dos documentos sem um token de documento válido.
O vetor CVSS 3.1 informado pelo CNA indica alto impacto em confidencialidade e integridade, sem impacto em disponibilidade, com pontuação base de 9.1 (crítica).

Produtos e versões afetadas

Relay Server das versões 0.9.0 até 0.9.6, conforme descrito.
A versão 0.9.7 é indicada na descrição como a versão corrigida.
Os campos estruturados de afetados e correções do registro estão vazios; as informações de versão aqui vêm do texto da descrição e da referência de advisory.

Status de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS no registro é 0.00531 (percentil 0.43367), que estima a probabilidade de exploração, mas não é evidência de ataques observados.

Correção e mitigação

Atualize o Relay Server para a versão 0.9.7 ou superior, conforme indicado no registro.
Se a atualização imediata não for possível, restrinja o acesso de rede ao servidor a usuários e redes confiáveis, já que a falha é alcançável pela rede.
Confirme que a autenticação está configurada no servidor e revise como os IDs de documentos são gerados e compartilhados, pois o ataque depende de conhecê-los ou adivinhá-los.
Inferência: após a atualização, verifique se documentos foram acessados ou alterados enquanto o servidor estava exposto.

Orientações de detecção

Revise os logs de conexão WebSocket em busca de conexões aos endpoints de múltiplos documentos sem o parâmetro token.
Procure sessões de sincronização vindas de origens inesperadas ou que acessem IDs de documentos não esperados pelos respectivos donos.
Correlacione os logs de acesso do servidor com o histórico de alterações dos documentos para identificar modificações não explicadas.

Limitações das informações disponíveis

O registro contém apenas a descrição, dados CVSS, classificação CWE, dados EPSS e uma referência de advisory; não inclui configurações afetadas detalhadas, caminhos exatos dos endpoints nem uma lista estruturada de versões corrigidas.
O status de origem do registro é Deferred, e o título estava ausente, por isso o título aqui foi redigido a partir da descrição.
A data do EPSS no registro é posterior à data de publicação, então seu momento deve ser interpretado com cautela.
O registro não traz informações sobre a existência de código de prova de conceito público.

Perguntas frequentes

Quais versões do Relay Server são afetadas pela CVE-2026-42889?

Segundo o registro, as versões 0.9.0 até 0.9.6 são afetadas, e a versão 0.9.7 contém a correção.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.