CVE-2026-49973: Hermes WebUI: tomada de senha não autenticada via API de configurações

Visão geral

As versões do Hermes WebUI anteriores à 0.51.358 apresentam falha de falta de autenticação (CWE-306) na API de configurações. Segundo o registro, uma parte remota não autenticada pode assumir a configuração inicial durante a janela de primeira execução. A VulnCheck publicou o registro como CNA em 2026-06-11.

Impacto

Um atacante não autenticado que alcance a instância durante a configuração inicial pode definir a senha administrativa.
O operador legítimo pode ficar impedido de acessar a própria instância.
O vetor CVSS 3.1 do registro indica vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.

Produtos e versões afetadas

Produto: Nesquena Hermes WebUI.
Faixa registrada: anterior à 0.51.358.
O registro não traz campo separado de versão corrigida. O commit de correção e a referência de lançamento sugerem que a 0.51.358 é a versão corrigida (inferência).

Status de exploração

O registro indica kev.listed como falso, portanto esta CVE não consta no catálogo KEV da CISA segundo o registro.
Não aparece exploração confirmada na natureza nas fontes consultadas.
O dado SSVC do registro marca a exploração como prova de conceito e a automatização como sim. Trata-se de insumo de priorização, não de evidência de ataques observados.

Correção e mitigação

Atualize o Hermes WebUI para a 0.51.358 ou posterior, conforme indicado no commit de correção e na pull request relacionada.
Até a atualização, não exponha a configuração inicial a redes não confiáveis e restrinja o acesso à instância a operadores de confiança.
Conclua a configuração inicial logo que possível em ambiente controlado e depois verifique as credenciais administrativas.
Antes de atualizar, verifique se as instâncias estiveram acessíveis pela internet ou por redes compartilhadas.

Orientação para detecção

Revise os logs do servidor web ou da aplicação em busca de requisições inesperadas ao endpoint de configurações, especialmente POST feitos antes da conclusão da configuração pelo operador.
Verifique se a conta administrativa pode ser acessada com credenciais que o operador não definiu.
Monitore novas sessões em instâncias implantadas recentemente.

Limitações das informações disponíveis

O registro tem status de origem Deferred e não inclui aviso adicional do fornecedor além das referências listadas.
Nenhum campo de versão corrigida está preenchido no registro.
As fontes não informam atividade de exploração, disponibilidade pública de exploits além do valor SSVC, nem o número de implantações afetadas.
Os valores EPSS são estimativas de modelo e não confirmam exploração.

Perguntas frequentes

Qual é o problema central da CVE-2026-49973?

Segundo o registro, o Hermes WebUI anterior à 0.51.358 não exige autenticação em um caminho da API de configurações durante a primeira execução, permitindo que uma parte remota não autenticada defina a senha administrativa.

Há registro de exploração desta vulnerabilidade?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não aparece exploração confirmada na natureza nas fontes consultadas. O valor SSVC do registro serve apenas para priorização.

O que os operadores devem fazer agora?

Atualizar para a 0.51.358 ou posterior, manter a configuração inicial longe de redes não confiáveis e verificar a conta administrativa e os logs em busca de atividade inesperada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.