CVE-2026-46386: Chave secreta padrão na imagem Docker do OpenProject leva a risco de desserialização
A CVE-2026-46386 afeta a imagem Docker oficial openproject/openproject, que, segundo o registro, distribui um valor padrão de chave secreta do Rails. Combinada com a serialização Marshal em cookies, o registro descreve um caminho para desserialização insegura acessível a qualquer usuário autenticado. A CNA classifica a falha com 9,9 (CVSS 3.1, crítica), mas o registro não traz versões afetadas nem corrigidas.
Visão geral
O OpenProject é um software de gerenciamento de projetos web e de código aberto. Segundo o registro da CVE, a imagem Docker oficial openproject/openproject distribui um valor padrão de placeholder para a chave secreta base do Rails. A aplicação também está configurada para serializar cookies com Marshal, e o registro afirma que essa combinação dá a qualquer usuário autenticado um caminho determinístico de desserialização por meio de um leitor de cookie em uma rota acessível ao usuário.
A fragilidade é classificada como CWE-502, Desserialização de Dados Não Confiáveis. O aviso original está disponível em GitHub Security Advisory GHSA-r85r-gjq2-f83r.
Impacto
A CNA atribuiu a nota 9,9 pelo CVSS 3.1 com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Isso indica vetor de ataque pela rede, baixa complexidade, privilégios baixos exigidos, nenhuma interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade, conforme relatado pela CNA.
Na prática, um atacante que consiga autenticar-se na aplicação é descrito como capaz de alcançar a desserialização insegura. O registro não detalha outros efeitos.
Produtos e versões afetadas
O registro não lista faixas de versões afetadas nem versões corrigidas. O texto da descrição tem lacunas nos campos de versão, tanto na parte de afetadas quanto na de corrigidas, por isso não é possível determinar as versões exatas com base nas fontes consultadas. Administradores devem confirmar a tag e a versão da imagem implantada no aviso do fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro fornecido. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0,0049, com percentil de 0,40451.
Correção e mitigação
- Identifique todas as implantações que usam a imagem Docker oficial do openproject ou uma imagem derivada e verifique se a chave secreta base foi mantida em valor padrão ou de placeholder.
- Substitua qualquer chave padrão por um valor único e de alta entropia, fornecido por um gerenciador de segredos ou por configuração de ambiente protegida.
- Planeje a atualização para uma versão que o fornecedor identifique como corrigida, conforme o aviso no GitHub. O registro não informa a versão corrigida.
- A rotação da chave secreta base normalmente invalida sessões existentes e dados assinados; agende a mudança considerando os usuários.
- Restrinja quem pode criar contas na instância e revise as contas existentes, já que o registro descreve o risco para usuários autenticados.
Orientações de detecção
- Audite variáveis de ambiente de contêineres e manifestos de orquestração em busca do valor padrão de segredo.
- Revise logs da aplicação e do proxy reverso em busca, em nível geral, de cookies de tamanho incomum ou de eventos repetidos de erro de servidor relacionados à desserialização.
- Compare os digests e tags das imagens em execução com as informações de release do fornecedor, após confirmar a versão corrigida.
Limitações das informações disponíveis
O registro de origem não traz título em inglês, nem dados de versões afetadas ou corrigidas, e contém marcadores de versão em branco na descrição. A pontuação e o vetor CVSS vêm da CNA, não de uma análise confirmada da NVD dentro deste registro. O aviso vinculado no registro é a única referência do fornecedor usada aqui, e seu conteúdo além do registro não foi revisado.
Perguntas frequentes
O que é a CVE-2026-46386?
É uma fragilidade crítica de desserialização na imagem Docker oficial do OpenProject, que, segundo o registro, distribui uma chave secreta base padrão do Rails. A CNA atribuiu nota 9,9 pelo CVSS 3.1.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não aparece no catálogo KEV da CISA no registro fornecido, e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas e qual é a correção?
O registro não lista versões afetadas nem corrigidas, e a descrição tem lacunas nesses campos. Consulte o aviso no GitHub e a tag da sua imagem para confirmar a exposição e a correção indicada pelo fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.