CVE-2026-58449: txtai: RCE por reflexão insegura no endpoint /reindex

Visão geral

A CVE-2026-58449 afeta o txtai até a versão 9.10.0. Segundo a descrição do CNA, o endpoint de API /reindex resolve seu parâmetro de corpo function por meio de txtai.util.Resolver sem lista de permissões, e a fraqueza é classificada como CWE-94 (Injeção de Código). O registro indica que a correção está no commit 11b32da, que restringe o endpoint por trás de uma nova flag de configuração de reindexação. Veja o aviso da VulnCheck e o commit de correção.

Impacto

Sob as condições de implantação descritas, uma parte remota sem autenticação poderia obter execução de código como processo do servidor durante a reindexação.
Pontuação base CVSS 3.1 de 9,8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, conforme fornecido pelo CNA. O mesmo fornecedor também lista pontuação CVSS 4.0 de 9,3.
O registro não descreve impactos além da execução de código no contexto do servidor.

Produtos e versões afetados

O registro indica que o txtai até a versão 9.10.0 é afetado. A lista estruturada de afetados está vazia, portanto a faixa depende do texto da descrição.
A correção é identificada como o commit 11b32da. O registro não lista uma versão corrigida publicada, então não é possível confirmar se alguma release já inclui a correção.
O risco descrito exige três condições: a API exposta, nenhum TOKEN configurado e o índice configurado como gravável.

Status de exploração

A entrada correspondente não consta no catálogo CISA KEV no registro.
Não há exploração confirmada no mundo real nas fontes consultadas.
Os dados do EPSS mostram probabilidade de 0,01354 e percentil de 0,70876, com data de 2026-10-13.

Remediação e mitigação

Atualize o txtai para uma versão que inclua o commit 11b32da e confirme com os mantenedores qual tag de release o contém.
Não exponha a API do txtai a redes não confiáveis. Restrinja o acesso no nível de rede e coloque-a atrás de um gateway com autenticação.
Configure o token da API, pois o registro informa que a autenticação é opcional e que sua ausência deixa todos os endpoints sem autenticação.
Quando a reindexação via API não for necessária, evite executar com configuração de índice gravável.
Após a atualização, revise a nova flag de configuração de reindexação introduzida pela correção e mantenha essa capacidade desativada, salvo necessidade.

Orientações de detecção

Revise os logs de acesso da API em busca de requisições ao endpoint /reindex vindas de origens inesperadas ou sem as credenciais esperadas.
Monitore o processo do servidor txtai em busca de processos filhos inesperados ou atividade de saída de rede durante operações de reindexação.
Audite implantações com APIs expostas que não tenham token configurado e que usem configurações de índice gravável.

Limitações das informações disponíveis

O registro não tem listas estruturadas de versões afetadas ou corrigidas, por isso as versões exatas publicadas com a correção são desconhecidas.
Não há notas de versão do fornecedor no registro, portanto o status de publicação do commit 11b32da é desconhecido.
O registro não traz detalhes do KEV, e as fontes consultadas não estabelecem disponibilidade pública de exploit.
Os dados CVSS vêm do provedor CNA; não há pontuações do NVD ou da CISA ADP no registro.

Perguntas frequentes

A CVE-2026-58449 é explorada no mundo real?

O registro mostra que ela não consta no catálogo CISA KEV, e não há exploração confirmada nas fontes consultadas.

A configuração padrão do txtai expõe esse risco?

O registro afirma que a exploração exige API exposta, nenhum TOKEN configurado e índice gravável, e que essa não é a configuração padrão.

O que os administradores devem fazer primeiro?

Restrinja o acesso de rede à API, configure um token e atualize para uma versão que contenha o commit 11b32da, após confirmar o status de publicação.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.