CVE-2026-5300: CoolerControl coolercontrold: falta de autenticação em função crítica
A CVE-2026-5300 afeta o coolercontrold da CoolerControl em versões anteriores à 4.0.0, nas quais parte da funcionalidade pode ser acessada sem autenticação. De acordo com o registro, atacantes não autenticados podem visualizar e modificar dados potencialmente sensíveis por meio de requisições HTTP. A NVD atribui nota 9.1 (crítica), enquanto GitLab e GitHub atribuem 5.9 (média).
Visão geral
A CVE-2026-5300 é classificada como CWE-306, falta de autenticação em função crítica, no coolercontrold da CoolerControl. O registro informa que parte da funcionalidade pode ser acessada sem autenticação, o que permite a atacantes não autenticados visualizar e modificar dados potencialmente sensíveis via HTTP. A entrada foi publicada em 2026-04-08.
Impacto
- Confidencialidade: a avaliação da NVD indica impacto alto.
- Integridade: a avaliação da NVD indica impacto alto.
- Disponibilidade: a avaliação da NVD não indica impacto.
- O registro qualifica os dados como potencialmente sensíveis, mas não detalha quais tipos de dado são expostos.
Produtos e versões afetados
- Produto: Coolercontrol Coolercontrold.
- O registro lista versões anteriores à 4.0.0 e a faixa a partir de 0.14.0 até antes de 4.0.0.
- O registro não informa se versões anteriores à 0.14.0 são afetadas.
Situação de exploração
- O registro não mostra inclusão desta CVE no catálogo KEV da CISA.
- Os dados SSVC do registro classificam a exploração como none e a automatização como no.
- A probabilidade EPSS é 0,0028, com percentil de 0,19375 na data registrada.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize para a versão 4.0.0 ou posterior, já que a faixa afetada termina antes de 4.0.0. As notas de lançamento estão na página da release 4.0.0 no GitLab.
- Até concluir a atualização, restrinja o acesso de rede à interface HTTP do coolercontrold para que apenas hosts administrativos confiáveis a alcancem.
- Verifique se configurações ou dados sensíveis foram acessados ou alterados antes da correção.
Detecção
- Revise os logs de acesso HTTP em busca de requisições ao serviço coolercontrold de origens inesperadas ou sem sessão autenticada válida.
- Monitore alterações inesperadas nas configurações gerenciadas pelo software.
Limitações das informações disponíveis
- As fontes de severidade divergem: a NVD atribui 9.1 (crítica), enquanto GitLab e GitHub atribuem 5.9 (média).
- O registro não descreve os endpoints específicos, os tipos de dado nem o mecanismo de autenticação envolvidos.
- A lista de correções do registro está vazia. O limite 4.0.0 é inferido a partir da faixa afetada e da página de release.
- Pré-requisitos de exploração além da alcançabilidade de rede não são detalhados.
Veja também a entrada da NVD e o aviso no GitHub.
Perguntas frequentes
O que é a CVE-2026-5300?
É um problema de falta de autenticação (CWE-306) no coolercontrold da CoolerControl antes da 4.0.0, que permite a atacantes não autenticados visualizar e modificar dados potencialmente sensíveis via HTTP.
Quais versões são afetadas?
O registro lista versões anteriores à 4.0.0 e a faixa a partir de 0.14.0 até antes de 4.0.0.
Há exploração conhecida?
O registro não mostra inclusão no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O SSVC classifica a exploração como none.
O que administradores devem fazer?
Atualizar para a 4.0.0 ou posterior e, até lá, restringir o acesso de rede à interface HTTP a hosts confiáveis.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.