CVE-2026-47202: Kavita: falha de autenticação permite obter JWT de qualquer usuário
As versões do Kavita anteriores à 0.9.0.2 apresentam uma falha de validação de token (CWE-287) que permite a um agente remoto e não autenticado, que conheça um nome de usuário, solicitar um JWT para esse usuário, inclusive administradores. O CNA classificou a vulnerabilidade como crítica, com pontuação base CVSS 4.0 de 9.3, e a descrição informa que ela está corrigida na versão 0.9.0.2. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O Kavita é um servidor de leitura multiplataforma. Segundo a descrição do registro, as versões anteriores à 0.9.0.2 contêm uma falha de validação de token inadequada, classificada como CWE-287 (Autenticação Inadequada). Um agente remoto e não autenticado que conheça um nome de usuário pode solicitar um JWT para esse usuário, inclusive para contas de administrador.
Impacto
- A falha pode permitir que um agente não autenticado obtenha um token válido para qualquer usuário, incluindo administradores.
- O CNA atribuiu pontuação base CVSS 4.0 de 9.3 (crítica), com alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.
- O texto disponível não descreve quais dados ou funções ficam acessíveis após a emissão do token.
Produtos e versões afetados
- As versões do Kavita anteriores à 0.9.0.2 são descritas como afetadas.
- A lista estruturada de versões afetadas do registro está vazia, portanto os limites exatos de versão além da descrição são desconhecidos.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Kavita para a versão 0.9.0.2 ou posterior, conforme indicado na descrição e nas notas da versão.
- Consulte o aviso de segurança no GitHub para orientações do mantenedor.
- Até a aplicação da atualização, restrinja a exposição de rede do servidor de leitura, especialmente a redes não confiáveis.
- Revise contas de administrador e a atividade recente de tokens em busca de acessos inesperados.
Orientações de detecção
- Revise os logs de autenticação em busca de solicitações de token que não correspondam a logins legítimos, principalmente em contas administrativas.
- Correlacione solicitações de token incomuns vindas de origens desconhecidas com a atividade subsequente da conta.
Limitações das informações disponíveis
- O registro não possui entradas estruturadas de versão corrigida ou afetada; a versão corrigida vem da descrição e da referência de release.
- Detalhes técnicos do caminho de código vulnerável e qualquer material de prova de conceito não constam nas fontes consultadas e não são descritos aqui.
- Os dados de EPSS são apresentados conforme registrados e não são interpretados além disso.
Perguntas frequentes
Quais versões do Kavita são afetadas por esta CVE?
A descrição informa que as versões anteriores à 0.9.0.2 são afetadas. A lista estruturada de versões afetadas do registro está vazia, portanto não há outros limites de versão confirmados.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualizar o Kavita para a versão 0.9.0.2 ou posterior, revisar contas de administrador e a atividade de tokens e restringir a exposição de rede até a conclusão da atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.