CVE-2026-54588: Poweradmin: envenenamento do cabeçalho Host em callbacks OIDC e SAML

Visão geral

O Poweradmin é uma ferramenta web de administração de DNS para o servidor PowerDNS. Segundo o texto do registro, versões anteriores a 4.2.4 e 4.3.3 usam o cabeçalho Host da requisição HTTP como base para montar URLs de callback nos fluxos OIDC, SAML e logout, sem validá-lo. O aviso do fornecedor está disponível em GHSA-3735-5339-xfwx.

Impacto

O registro descreve um caminho em que um atacante remoto não autenticado pode influenciar o redirect_uri enviado ao Identity Provider, fazendo com que o código de autorização de uma vítima seja entregue a um servidor controlado pelo atacante.
O registro descreve o resultado como tomada completa de conta, sem necessidade de credenciais.
A pontuação base CVSS 3.1 no registro é 9.6 (crítica), com vetor de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto em confidencialidade e integridade.

Produtos e versões afetadas

Versões do Poweradmin anteriores a 4.2.4 e anteriores a 4.3.3, conforme a descrição do registro.
A lista estruturada de produtos afetados no registro está vazia, por isso os limites exatos devem ser conferidos no aviso do fornecedor e nas páginas das versões 4.2.4 e 4.3.3.

Status de exploração

O registro indica que esta CVE não consta no catálogo CISA KEV. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.

Correção e mitigação

Atualize o Poweradmin para a versão 4.2.4 ou 4.3.3, que segundo o registro corrigem o problema.
Enquanto a atualização não for possível, limite quais nomes de host alcançam a aplicação no proxy reverso ou no servidor web, aceitando apenas o nome canônico esperado. Trata-se de uma medida geral de endurecimento, não de uma correção indicada pelo fornecedor.
Revise as URIs de redirecionamento e as listas de callbacks permitidas no Identity Provider, para recusar destinos inesperados.
Revise a configuração OIDC, SAML e de logout do Poweradmin após a atualização.

Orientações de detecção

Analise logs do servidor web e da aplicação em busca de requisições a endpoints de autenticação e logout com valores de cabeçalho Host inesperados ou não reconhecidos.
Monitore os logs do Identity Provider em busca de requisições de autorização com URIs de redirecionamento que não correspondam aos callbacks registrados.
Observe atividades de login inesperadas em contas administrativas que usam o Poweradmin.

Limitações das informações disponíveis

O registro não contém dados de EPSS ou SSVC, portanto a probabilidade de exploração é desconhecida.
Os campos estruturados de versões afetadas e corrigidas estão vazios; as informações de versão vêm da descrição do registro e das páginas de release referenciadas.
Não é possível saber, a partir das fontes disponíveis, se houve ataques na prática.
O registro não descreve detalhes de implantação, como se um proxy reverso já normaliza o cabeçalho Host.

Perguntas frequentes

Qual é o problema central da CVE-2026-54588?

Segundo o registro, o Poweradmin monta URLs de callback OIDC, SAML e logout a partir do cabeçalho Host HTTP sem validá-lo, então quem faz a requisição pode influenciar o redirect_uri enviado ao Identity Provider.

Quais versões estão corrigidas?

O registro indica que as versões 4.2.4 e 4.3.3 corrigem o problema, e que as versões anteriores a elas são afetadas.

Há exploração conhecida desta vulnerabilidade?

O registro mostra que ela não consta no catálogo CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.