CVE-2026-44262: Dedoc Scramble: execução remota de código via avaliação de entrada controlada pelo usuário em regras de validação

Visão geral

O Scramble gera documentação de API para projetos Laravel. Este registro descreve uma falha de injeção de código (CWE-94) nas versões a partir da 0.13.2 até antes da 0.13.22. O problema ocorre quando os endpoints de documentação estão acessíveis publicamente e regras de validação referenciam entrada controlada pelo usuário, pois dados enviados na requisição podem ser avaliados durante a geração da documentação.

Impacto

A descrição indica que a falha pode levar à execução de código PHP arbitrário no contexto da aplicação.
A pontuação base CVSS 3.1 registrada é 9.4 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L, o que indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário.
Os dados SSVC do registro classificam o problema como automatizável e com impacto técnico total.

Produtos e versões afetadas

Produto: Dedoc Scramble.
Faixa afetada: da versão 0.13.2 até antes da 0.13.22.
A descrição indica que a vulnerabilidade está corrigida na versão 0.13.22. A lista de correções do registro está vazia, por isso a correção foi identificada a partir da descrição e da referência de lançamento.

Situação de exploração

O catálogo CISA KEV não lista esta CVE. As fontes consultadas não confirmam exploração ativa nem disponibilidade pública de exploit. A exploração SSVC está registrada como none. A probabilidade EPSS no registro é 0.03872, com percentil de 0.89983.

Correção e mitigação

Atualize o Scramble para a versão 0.13.22, identificada nas fontes como a versão corrigida. Consulte o lançamento no GitHub.
Revise o aviso de segurança do GitHub para orientações do fornecedor.
Enquanto a atualização não for concluída, não exponha publicamente os endpoints de documentação da API em ambientes de produção.
Revise as regras de validação que dependem de dados da requisição e remova construções dinâmicas desnecessárias.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns às rotas de documentação da API, especialmente de origens desconhecidas.
Mantenha um inventário dos projetos Laravel que usam o Scramble e registre a versão instalada, sinalizando qualquer uma abaixo da 0.13.22.
Observe erros ou comportamentos inesperados durante a geração da documentação, que podem indicar tentativas de abuso.

Limitações das informações disponíveis

O status da fonte no registro é Deferred, e a lista de correções está vazia.
As fontes não descrevem os padrões exatos de regras de validação que acionam a falha.
Não há evidências de exploração nem indicadores de comprometimento no registro.
O registro não informa se versões posteriores à 0.13.22 também são corrigidas.

Perguntas frequentes

Quais versões do Scramble são afetadas pela CVE-2026-44262?

O registro indica as versões a partir da 0.13.2 até antes da 0.13.22. A descrição informa que a correção está na 0.13.22.

Esta vulnerabilidade está sendo explorada ativamente?

A CISA KEV não lista esta CVE e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O campo de exploração SSVC está registrado como none.

Qual é a principal mitigação?

Atualize o Scramble para a 0.13.22 ou uma versão posterior e evite expor publicamente os endpoints de documentação da API enquanto a atualização estiver pendente.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.