CVE-2026-54103: GAO EPDS e CBCA EDS: ausência de autenticação na troca de senha
A CVE-2026-54103 descreve uma falha de ausência de autenticação (CWE-306) no Electronic Protest Docketing System (EPDS) do GAO e no Electronic Docketing System (EDS) do CBCA, em que pedidos de troca de senha ao endpoint de API '/update-profile/N' não são autenticados. Um atacante remoto e não autenticado poderia alterar a senha de qualquer usuário, e a CNA classifica a falha como crítica (CVSS v3.1 9.8). Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-54103 afeta dois serviços web de protocolo eletrônico do governo dos EUA: o Electronic Protest Docketing System (EPDS) do GAO e o Electronic Docketing System (EDS) do CBCA. Segundo o registro CVE, solicitações de troca de senha enviadas ao endpoint de API '/update-profile/N' não passam por autenticação. A fraqueza é classificada como CWE-306, ausência de autenticação para função crítica. O registro foi publicado em 2026-06-18 e consta no NVD como "Awaiting Analysis". Há referência a um aviso CSAF da CISA (va-26-169-01).
Impacto
A CNA atribuiu pontuação base CVSS v3.1 de 9.8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e pontuação CVSS v4.0 de 9.3. O registro afirma que um atacante remoto e não autenticado poderia alterar a senha de qualquer usuário. Na prática, isso equivale a sequestro de conta: o atacante poderia bloquear o acesso do usuário legítimo e agir em seu nome, possivelmente acessando ou alterando protestos de licitação e recursos contratuais vinculados à conta. Os dados expostos dependem do perfil de cada conta, o que o registro não detalha.
Produtos e versões afetados
- GAO Electronic Protest Docketing System (EPDS) — epds.gao.gov
- CBCA Electronic Docketing System (EDS) — eds.cbca.gov
O registro não informa versões afetadas nem corrigidas. Ambos parecem ser serviços hospedados centralmente, e não softwares instalados pelos usuários.
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS. A baixa complexidade e a ausência de privilégios necessários indicam que a falha seria fácil de abusar caso ainda esteja presente.
Correção e mitigação
Por se tratar de serviços hospedados, a correção cabe aos órgãos operadores; o registro não traz informações de correção, o que não significa que ela não exista.
- Os operadores devem exigir autenticação e autorização no endpoint de troca de senha, confirmando que o solicitante é o dono da conta (por exemplo, exigindo a senha atual ou uma sessão válida vinculada ao usuário).
- Usuários do EPDS ou do EDS devem consultar o aviso CSAF da CISA e comunicados do GAO ou do CBCA, verificar se ainda conseguem acessar suas contas e relatar bloqueios inesperados.
- Quando disponível, ativar autenticação multifator e revisar dados de contato e protocolos recentes em busca de alterações não autorizadas.
Orientações de detecção
- Revisar logs da aplicação em busca de trocas de senha no endpoint de atualização de perfil sem sessão autenticada associada, ou em que o usuário da sessão difere da conta alvo.
- Procurar rajadas de requisições de atualização de perfil percorrendo diferentes identificadores de usuário a partir da mesma origem.
- Correlacionar trocas de senha com logins posteriores de locais incomuns e com relatos de bloqueio de usuários.
Limitações das informações disponíveis
O registro não traz dados de versões afetadas ou corrigidas, prazo de correção, EPSS ou SSVC, e o NVD ainda não concluiu sua análise. Não se sabe se os serviços já foram corrigidos nem se alguma conta foi comprometida. A CNA é identificada apenas por um identificador interno.
Perguntas frequentes
O que é a CVE-2026-54103?
Uma falha de ausência de autenticação nos sistemas EPDS do GAO e EDS do CBCA: o endpoint de API '/update-profile/N' não autentica pedidos de troca de senha, permitindo que um atacante remoto e não autenticado altere a senha de qualquer usuário.
Ela está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os usuários devem fazer?
A correção cabe aos órgãos operadores. Os usuários devem acompanhar o aviso da CISA e comunicados dos órgãos, confirmar que ainda acessam suas contas, relatar bloqueios inesperados e revisar a conta em busca de alterações indevidas.
Quais versões são afetadas?
O registro não informa versões; os itens afetados são serviços web hospedados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.