CVE-2026-7165: Jogo Assassin da Gaudire: Falhas Múltiplas de Validação de Entrada, Autorização e SSRF no Endpoint addJugador

Visão geral

A CVE-2026-7165 foi publicada em 22/06/2026 pelo INCIBE como CNA, com a classificação CWE-20 (Validação de Entrada Inadequada) e pontuação CVSS 9,4, considerada crítica. O registro descreve várias fraquezas no endpoint /addJugador de uma aplicação de jogo. O aviso do INCIBE-CERT é a principal referência do registro e parece tratar do jogo Assassin da Gaudire, o que é uma inferência a partir da URL.

Impacto

O registro relata cinco problemas relacionados:

• Modificação das informações de outros usuários por meio dos parâmetros keyJugador e keyJugadorObjectiu, sem verificação de autorização.
• Inserção de valores arbitrários nos campos punts e numObjectiusEliminats, o que poderia permitir falsificar pontuações e obter prêmios concedidos por câmaras municipais.
• Atribuição própria de privilégios administrativos pelo campo tokens, sem validação no servidor.
• Negação de serviço causada por valores numéricos extremamente longos, que podem travar o sistema e tornar os jogos criados injogáveis.
• Requisições do lado do servidor para URLs arbitrárias pelo parâmetro urlImatge, que o registro associa a exposição de IPs internos, acesso a serviços internos, leitura de arquivos locais e chamadas não autorizadas a APIs de terceiros.

O registro afirma que um atacante autenticado poderia explorar essas condições. O vetor CVSS indica alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

O registro não lista produtos nem faixas de versões afetadas, e a lista de afetados está vazia. O slug da referência sugere que o produto é um jogo Assassin da Gaudire, mas as versões afetadas são desconhecidas nas fontes consultadas.

Status de exploração

A CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada no ambiente real. A pontuação EPSS não está disponível no registro.

Correção e mitigação

• Verifique com o fornecedor ou operador do jogo Assassin da Gaudire se a versão em uso é afetada, usando o aviso do INCIBE como ponto de partida.
• Aplique qualquer atualização publicada pelo fornecedor assim que estiver disponível. Nenhuma versão corrigida consta no registro.
• Enquanto a correção não for confirmada, restrinja o acesso às funções administrativas e de API do jogo, limite quem pode criar contas e avalie se a aplicação está exposta à internet.
• Limite o acesso de saída do servidor da aplicação a endereços internos e destinos externos desnecessários, o que reduz o risco de abuso de requisições do lado do servidor.
• Se a aplicação for mantida internamente, imponha validação de intervalos numéricos e verificações de papel baseadas em token no servidor.

Orientações de detecção

• Revise os logs da aplicação em busca de alterações em registros de usuários ou pontuações que não correspondam à atividade normal do jogo.
• Monitore alterações inesperadas de papéis ou permissões em contas.
• Observe valores numéricos incomumente grandes em requisições relacionadas ao jogo e reinícios ou travamentos da aplicação.
• Monitore requisições de saída do servidor para faixas de rede internas ou hosts externos incomuns.

Limitações das informações disponíveis

O registro não informa versões afetadas ou corrigidas, dados do fornecedor, status de correção nem pontuação EPSS. O nome do produto é inferido de uma URL de referência. As fontes consultadas não contêm validação técnica independente das condições descritas.

Perguntas frequentes

A CVE-2026-7165 está sendo explorada ativamente?

Ela não consta no catálogo KEV da CISA e não há exploração confirmada no ambiente real nas fontes consultadas.

Quais versões são afetadas e existe correção?

O registro não informa versões afetadas nem corrigidas. Consulte o aviso do INCIBE e o fornecedor para informações atualizadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.