CVE-2026-7166: Exposição de dados sensíveis em API (CWE-200)
A CVE-2026-7166 descreve uma API que expõe valores de e-mail e telefone, além de um banco de dados local com a mesma fragilidade, que contém dados acessíveis de menores e de usuários municipais. A CNA atribui nota 9.2 pelo CVSS 4.0 e indica alto impacto de confidencialidade para um atacante remoto não autenticado. O registro não traz inclusão no KEV, versões afetadas nem correções, por isso o escopo e o status de correção são desconhecidos.
Visão geral
A CVE-2026-7166 é classificada como CWE-200, Exposição de Informações Sensíveis. Segundo o registro, uma API expõe valores de e-mail e telefone a partir dos campos 'email' e 'telefon', e a mesma fragilidade aparece em um banco de dados local que guarda informações sensíveis acessíveis, incluindo dados de menores de idade e de usuários municipais.
Impacto
- O vetor CVSS 4.0 informado pela CNA classifica o impacto na confidencialidade como alto, com impacto em integridade e disponibilidade definido como nenhum.
- O registro afirma que um atacante remoto não autenticado poderia obter acesso a informações e dados sensíveis.
- A exposição de dados pessoais de menores de idade levanta preocupações de privacidade e de conformidade regulatória para quem opera o sistema afetado.
Produtos e versões afetados
- O registro não lista produtos ou versões afetadas, por isso o escopo não pode ser determinado com os dados disponíveis.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada.
Correção e mitigação
- Quem opera a API e o banco de dados afetados deve restringir o acesso aos campos pessoais, exigir autenticação e autorização nesses endpoints e deixar de retornar dados pessoais desnecessários.
- Priorize registros de menores de idade, avalie as obrigações aplicáveis de proteção de dados e limite o acesso ao banco de dados afetado.
- Acompanhe o aviso publicado pelo INCIBE-CERT e qualquer orientação posterior do fornecedor.
Orientações de detecção
- Revise os logs da API em busca de requisições não autenticadas cujas respostas incluam campos de e-mail ou telefone.
- Audite o acesso ao banco de dados local em busca de leituras inesperadas de dados pessoais, especialmente de registros ligados a menores.
Limitações das informações disponíveis
- O registro não contém nome do produto, fornecedor, versões afetadas nem versões corrigidas.
- A nota CVSS 4.0 de 9.2 vem da CNA. O status no NVD é Deferred, e não há dados de EPSS nem de SSVC.
Perguntas frequentes
Quais dados são expostos pela CVE-2026-7166?
Segundo o registro, a API expõe valores de e-mail e telefone a partir dos campos 'email' e 'telefon'. O banco de dados local com a mesma fragilidade contém dados acessíveis de menores e de usuários municipais.
A CVE-2026-7166 está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.
Quais versões são afetadas?
O registro não lista versões afetadas nem corrigidas, portanto essa informação é desconhecida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.