CVE-2026-5189: Sonatype Nexus Repository - Credencial Fixa em Componente de Banco de Dados Interno

Visão geral

A Sonatype publicou o CVE-2026-5189 para o Sonatype Nexus Repository e o Nexus Repository Manager. O registro classifica a fraqueza como CWE-798, uso de credenciais codificadas no código, em um componente de banco de dados interno. O registro do NVD atribui pontuação base 9.8 e severidade crítica.

Impacto

De acordo com a descrição, um atacante não autenticado com acesso à rede poderia obter acesso não autorizado de leitura e escrita ao banco de dados interno.
A descrição também indica que isso poderia permitir a execução de comandos arbitrários do sistema operacional com o usuário do processo Nexus.
Os dados SSVC do registro indicam que o problema é automatizável e que o impacto técnico é total.

Produtos e versões afetadas

O registro lista o Sonatype Nexus Repository e o Nexus Repository Manager nas versões de 3.0.0 até 3.70.5 inclusive, expressas na faixa afetada como a partir de 3.0.0 e anteriores a 3.71.0.
A exploração exige a configuração não padrão nexus.orient.binaryListenerEnabled=true.
O registro não inclui uma lista separada de versões corrigidas.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O campo de exploração do SSVC é none. A probabilidade EPSS é 0.00616, com percentil de 0.48908.

Correção e mitigação

Revise o aviso de suporte da Sonatype e planeje a atualização para a versão que o fabricante indica como corrigida. O registro aponta para as notas de lançamento do Nexus Repository 3.71.0, marcadas como patch.
Até concluir a atualização, verifique se nexus.orient.binaryListenerEnabled está definido como true. Se a configuração não for necessária, mantenha-a desabilitada.
Restrinja o acesso de rede às instâncias do Nexus Repository e à interface do banco de dados interno com segmentação de rede e listas de controle de acesso.

Orientações de detecção

Audite as configurações do Nexus quanto à configuração não padrão e acompanhe seu estado em todas as instâncias.
Revise logs de acesso e eventos de autenticação em busca de conexões inesperadas ao componente de banco de dados interno e de processos filhos inesperados iniciados pela conta de serviço do Nexus.
Trate qualquer indício de acesso não autorizado como incidente de segurança e siga o seu processo de resposta a incidentes.

Limitações das informações disponíveis

O registro não informa explicitamente a versão corrigida, e o texto completo do aviso do fabricante não está incluído no registro.
O registro não traz detalhes técnicos além da descrição, e esta análise não acrescenta nenhum.
A data do EPSS no registro é 2026-10-23, por isso a pontuação deve ser verificada na data da leitura.
O registro lista pontuações de diferentes provedores, mas não explica como elas se relacionam entre si.

Perguntas frequentes

Quais versões são afetadas pelo CVE-2026-5189?

O registro lista o Sonatype Nexus Repository e o Nexus Repository Manager nas versões de 3.0.0 até 3.70.5 inclusive, com faixa afetada a partir de 3.0.0 e anterior a 3.71.0.

Esta vulnerabilidade exige uma configuração especial?

Sim. O registro indica que a exploração exige a habilitação da configuração não padrão nexus.orient.binaryListenerEnabled=true.

Há exploração conhecida deste CVE na natureza?

O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.