CVE-2026-56782: Gorse: ausência de autenticação nas APIs de dump e restore do banco de dados

Visão geral

A CVE-2026-56782 é uma falha de ausência de autenticação (CWE-306) no sistema de recomendação Gorse. Segundo o registro, os endpoints /api/dump e /api/restore podem ser acessados sem credenciais quando a configuração admin_api_key está vazia, situação que a descrição indica ser a configuração padrão. A descrição associa o problema às versões anteriores à 0.5.10.

Impacto

Confidencialidade: o registro indica que um atacante remoto poderia exportar o banco de dados inteiro, incluindo registros de usuários, itens e dados de feedback que podem conter informações pessoalmente identificáveis.
Integridade: o registro indica que o conjunto de dados poderia ser completamente sobrescrito sem autenticação.
Disponibilidade: o vetor CVSS 3.1 do registro classifica o impacto em disponibilidade como alto, mas o registro não descreve um efeito específico sobre disponibilidade.
O registro atribui pontuação CVSS 3.1 de 9.8 (crítica) e pontuação CVSS 4.0 de 9.3, ambas fornecidas pelo CNA VulnCheck.

Produtos e versões afetadas

Produto: Gorse, conforme descrito no registro.
Faixa afetada: versões anteriores à 0.5.10, segundo a descrição.
A lista estruturada de produtos afetados do registro está vazia, por isso nomes de pacotes e faixas exatas devem ser confirmados nas referências do fabricante.
O registro não traz versão corrigida em campo próprio. O limite indicado na descrição sugere que a versão 0.5.10 ou posterior não é afetada, mas isso é uma inferência que deve ser verificada na issue, no commit e no pull request do GitHub vinculados.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS informada é 0.03559, com percentil de 0.89069; o EPSS é uma estimativa e não confirma exploração.

Correção e mitigação

Atualize o Gorse para a versão 0.5.10 ou posterior. O limite de versão vem da descrição e deve ser confirmado nas referências do fabricante.
Enquanto a atualização não for possível, defina um valor forte e não vazio para admin_api_key, para que os endpoints administrativos não fiquem desprotegidos por padrão, e restrinja o acesso de rede à API do Gorse a hosts confiáveis.
Verifique se dados armazenados no Gorse, especialmente registros de usuários e feedbacks, possam ter sido expostos, e siga os procedimentos internos de resposta a incidentes e de proteção de dados caso a exposição seja suspeita.

Orientações de detecção

Revise logs de servidor web e de aplicação em busca de requisições aos caminhos /api/dump e /api/restore, especialmente as originadas de endereços inesperados ou externos e as sem autenticação.
Crie alertas para volume ou tamanho incomum de respostas desses endpoints e para alterações inesperadas nos conjuntos de dados armazenados.
Verifique o estado da configuração admin_api_key em todas as implantações para identificar instâncias em que ela esteja vazia.

Limitações das informações disponíveis

O registro não lista versões afetadas ou corrigidas em campos estruturados.
O status de origem do registro é Deferred, portanto a avaliação pode estar incompleta.
A data do EPSS no registro é posterior à data de publicação; o significado dessa data é desconhecido.
O registro não traz evidências de exploração, detalhes de prova de conceito nem declarações do fabricante além das referências listadas.

Perguntas frequentes

O que é a CVE-2026-56782?

É uma falha de ausência de autenticação (CWE-306) no Gorse anterior à versão 0.5.10. Os endpoints /api/dump e /api/restore podem ser acessados sem credenciais quando admin_api_key está vazio, configuração que o registro indica ser a padrão.

Há exploração ativa conhecida?

Neste registro, a CVE não aparece no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer?

Atualizar o Gorse para a versão 0.5.10 ou posterior, definir um admin_api_key forte e não vazio como medida provisória e restringir o acesso de rede à API a hosts confiáveis.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.