CVE-2026-44451: Lumiverse: escape de sandbox em overrides de componentes TSX via referência DOM e bypass do validador

Visão geral

A CVE-2026-44451 é um escape de sandbox no recurso de substituição de componentes do Lumiverse, um aplicativo de chat com IA com implantação própria. Segundo o registro, código TSX fornecido pelo usuário é transpilado e avaliado em tempo de execução, e os controles destinados a restringi-lo podem ser contornados. O registro associa a falha ao CWE-693 (Falha de Mecanismo de Proteção) e a uma pontuação base CVSS 3.1 de 9.3, de origem GitHub.

Impacto

O registro afirma que os controles do sandbox podem ser contornados, o que permitiria que um componente malicioso executasse código além do escopo pretendido.
O registro descreve que a carga é disparada na sessão autenticada da vítima. Com base nessa descrição, um ataque bem-sucedido poderia agir com os privilégios da vítima na aplicação.
O vetor CVSS do registro indica alto impacto em confidencialidade e integridade, sem impacto em disponibilidade. O escopo está indicado como alterado.

Produtos e versões afetadas

Produto: Prolix-oc Lumiverse.
Faixa afetada: versões anteriores à 0.9.7.
A descrição do registro indica que a vulnerabilidade está corrigida na versão 0.9.7.
A lista de correções do registro está vazia. Isso não significa ausência de correção, pois a descrição identifica a 0.9.7 como versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há confirmação de exploração ativa no mundo real pelo KEV.
Os dados SSVC do registro classificam a exploração como 'poc', o que indica que atividade de prova de conceito é reconhecida. O registro também marca a automatização como 'no'.
A probabilidade EPSS no registro é 0,00408, com percentil de 0,33213.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Remediação e mitigação

Atualize o Lumiverse para a versão 0.9.7 ou superior, conforme indicado na descrição do registro.
Enquanto a atualização não for possível, revise quais pacotes de tema (arquivos .lumitheme ou .lumiverse-theme) estão instalados e evite importar pacotes de fontes não confiáveis.
Desabilite os overrides de componentes no Theme Editor onde não forem necessários e restrinja quem pode importar ou habilitar pacotes de tema.
Consulte o aviso de segurança do GitHub para orientações do fornecedor e detalhes adicionais.

Orientações de detecção

Faça o inventário das implantações do Lumiverse e de suas versões, sinalizando qualquer instância com versão anterior à 0.9.7.
Revise os pacotes de tema importados recentemente e os overrides de componentes habilitados, especialmente aqueles recebidos de terceiros.
Monitore os logs da aplicação e as sessões de usuários que habilitaram overrides para comportamentos inesperados após a importação de temas. O registro não descreve indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não descreve a correção exata nem as alterações de código da versão 0.9.7.
O registro não inclui lista de correções, portanto a versão corrigida vem apenas da descrição.
Detalhes do aviso do fornecedor além do resumo não estavam disponíveis no registro, portanto a extensão da exposição de dados é desconhecida.
A data EPSS no registro é 2026-10-13, posterior à data de publicação, por isso sua validade deve ser verificada antes de ser usada.

Perguntas frequentes

Quais versões do Lumiverse são afetadas pela CVE-2026-44451?

O registro lista as versões anteriores à 0.9.7 como afetadas, e a descrição indica que a falha está corrigida na 0.9.7.

Há registro de exploração ativa desta CVE?

O catálogo KEV da CISA não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC indicam nível de exploração de prova de conceito.

Como reduzir o risco antes da correção?

Revise e restrinja os pacotes de tema importados, desabilite os overrides de componentes onde não forem necessários e limite quem pode habilitá-los até que o Lumiverse seja atualizado para a versão 0.9.7 ou superior.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.