CVE-2026-44668: FACTION: falta de autenticação em ações Struts2 do framework de pentest
As versões do FACTION anteriores à 1.8.3 permitem que requisições não autenticadas alcancem ações Struts2 e métodos de BoilerPlateConfig que deveriam exigir uma sessão válida. Um atacante poderia ler, sobrescrever, desativar e excluir permanentemente modelos de texto padrão. O GitHub informa pontuação CVSS 3.1 de 9.8, e o registro não indica inclusão no catálogo KEV da CISA nem exploração confirmada.
Visão geral
O FACTION é um framework de geração e colaboração de relatórios de testes de penetração. O aviso do GitHub e a descrição do registro informam que as versões anteriores à 1.8.3 contêm uma falha de falta de autenticação (CWE-306) na camada de controle de acesso que protege as ações Struts2.
Impacto
- A barreira de autenticação AccessControlInterceptor encaminha a ação solicitada sem verificar uma sessão válida.
- Quatro métodos de ação em BoilerPlateConfig também não realizam nenhuma verificação local de sessão.
- Um atacante remoto não autenticado poderia ler, sobrescrever, desativar e excluir permanentemente qualquer modelo de texto padrão do sistema.
- A pontuação base CVSS 3.1 de 9.8 (crítica), fornecida pelo CNA do GitHub, indica falha acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto: FACTION, de factionsecurity.
- Faixa afetada: versões anteriores à 1.8.3, conforme a descrição.
- Versão corrigida: 1.8.3, conforme a descrição e a tag de release do projeto.
- Os campos estruturados de versões afetadas e correções estão vazios no registro, portanto a faixa de versões depende da descrição textual.
Status de exploração
- O registro indica que este CVE não está listado no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é de cerca de 0,66 por cento, com percentil de cerca de 50 por cento, conforme os dados fornecidos.
Correção e mitigação
- Atualize o FACTION para a versão 1.8.3, indicada como correção do problema.
- Até a aplicação da atualização, restrinja a exposição de rede das instâncias do FACTION a redes confiáveis (recomendação geral, não afirmada pela fonte).
- Confirme que os modelos de texto padrão têm backup, para que exclusões ou sobrescritas possam ser revertidas.
Orientações para detecção
- Revise os logs da aplicação web em busca de requisições às funções de gerenciamento de modelos sem sessão autenticada.
- Monitore alterações inesperadas, desativações ou exclusões de modelos de texto padrão.
- Após qualquer atividade suspeita, compare o inventário de modelos com um backup confiável.
Limitações das informações disponíveis
- O registro não informa versões afetadas ou corrigidas em campos estruturados; a faixa de versões vem da descrição.
- O registro mostra status de origem Deferred, e o valor CVSS é fornecido pelo CNA do GitHub.
- As fontes consultadas não trazem cronologia de exploração, e esta análise não inclui detalhes técnicos de exploração.
Perguntas frequentes
O que é afetado pelo CVE-2026-44668?
Conforme o registro, as versões do FACTION anteriores à 1.8.3 são afetadas, pois a barreira de autenticação das ações Struts2 e quatro métodos de BoilerPlateConfig não verificam uma sessão válida.
Qual versão corrige o problema?
A descrição e a tag de release referenciada indicam que a versão 1.8.3 corrige a vulnerabilidade.
Há registro de exploração desta vulnerabilidade?
O registro não indica inclusão deste CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.