CVE-2026-74881: Jahlives openssl_encrypt anterior à 1.4.0: CORS mal configurado com origens curinga
As versões do openssl_encrypt da Jahlives anteriores à 1.4.0 são descritas como configuradoras de CORS com origem permitida curinga e credenciais habilitadas. Segundo o registro, isso pode permitir que sites maliciosos façam requisições autenticadas entre origens à API em nome de usuários que os visitarem. A NVD classifica como crítica, com 9.3 no CVSS 3.1, e o registro indica que não consta no catálogo KEV da CISA.
Visão geral
O CVE-2026-74881 descreve uma configuração incorreta de CORS nas versões do Jahlives openssl_encrypt anteriores à 1.4.0. O registro informa que o CORS está configurado com origem permitida curinga enquanto as credenciais estão habilitadas, padrão classificado no CWE-942 (Permissive Cross-domain Policy).
Impacto
- Segundo o registro, um site malicioso poderia fazer requisições autenticadas entre origens à API em nome de um usuário que o visitasse.
- A NVD atribui pontuação 9.3 (Crítica) no CVSS 3.1, com alto impacto em confidencialidade e integridade e necessidade de interação do usuário. A VulnCheck atribui 6.5 no CVSS 3.1 e 7.1 no CVSS 4.0.
- Os dados específicos expostos dependem dos endpoints da API, que o registro não descreve.
Produtos e versões afetadas
- Produto: Jahlives Openssl Encrypt, em versões menores que 1.4.0 segundo o registro.
- O registro não lista uma versão corrigida separada. O limite da faixa afetada é a versão 1.4.0.
Status de exploração
- O registro indica que este CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas.
- Os campos SSVC do registro indicam exploração none e automatable no.
- A probabilidade EPSS é 0.00363, com percentil 0.28327, datada de 2026-10-13.
Correção e mitigação
- Consulte o aviso do fornecedor GHSA-c65f-x25w-62jv, listado no registro como referência de mitigação.
- Planeje a atualização para a versão 1.4.0 ou posterior, já que a faixa afetada está abaixo dessa versão. Confirme os passos exatos de correção no aviso do fornecedor.
- Até a atualização, restrinja quais origens podem chamar a API e evite permitir requisições com credenciais a partir de origens amplas ou curinga.
Orientações de detecção
- Revise a configuração do servidor e da API em busca de ajustes de CORS que permitam qualquer origem junto com credenciais.
- Em ambiente de teste controlado, verifique se os cabeçalhos de origem permissiva e de credenciais aparecem juntos nas respostas da API.
- Monitore os logs em busca de requisições entre origens inesperadas para endpoints sensíveis.
Limitações das informações disponíveis
- O registro não identifica quais endpoints ou dados da API são afetados.
- As pontuações da NVD e da VulnCheck diferem, e o registro não explica a diferença.
- O registro não informa uma versão corrigida ou patch explícito. O aviso GHSA é citado como mitigação.
- Esta análise não inclui detalhes de exploração.
Perguntas frequentes
Quais versões do openssl_encrypt são afetadas pelo CVE-2026-74881?
Segundo o registro, são afetadas as versões do Jahlives Openssl Encrypt menores que 1.4.0. O registro não lista uma versão corrigida separada, então consulte o aviso do fornecedor para detalhes de correção.
O CVE-2026-74881 está sendo explorado ativamente?
O registro indica que este CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O campo de exploração do SSVC está marcado como none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.