Base de CVEs

CVE-2026-11424 Alta · 8.3 CWE-200 05/06/2026

Server-Side Request Forgery in Altium Platform Design GraphQL Service Allows Information Disclosure

A server-side request forgery (SSRF) vulnerability exists in a GraphQL service component shared by Altium Enterprise Server and Altium 365. An authenticated user can submit a request whose input is treated as a URL by the server and used to issue an outbound HTTP GET request without URL validation or destination filtering. The response body is then returned to the user. This allows an authenticated attacker to reach internal services and metadata endpoints that would not otherwise be accessible from the public network, and to retrieve their contents. The impact is information disclosure and internal infrastructure reconnaissance; the request primitive is limited to HTTP GET with no custom headers. Altium Enterprise Server is fixed in 8.1.1; the issue has been remediated in Altium 365 at the service level.

CVE-2026-45300 Alta · 7.4 CWE-200 05/06/2026

async-http-client: Cookie header not stripped on cross-origin redirect

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Versions on the 2.x branch prior to 2.15.0 and the 3.x branch prior to 3.0.10 leak `Cookie` headers to cross-origin redirect targets. When following a redirect to a different origin, the `propagatedHeaders()` method in `Redirect30xInterceptor.java` strips `Authorization` and `Proxy-Authorization` headers but does not strip the `Cookie` header, causing session cookies and other sensitive cookie values to be sent to attacker-controlled servers. Versions 2.15.0 and 3.0.10 patch the issue.

CVE-2026-46395 Crítica · 9.3 CWE-200 05/06/2026

HAX CMS: exposição de chave privada por implementação HMAC defeituosa

HAX CMS ajuda a gerenciar um universo de microsites com backends em PHP ou NodeJs. Antes da versão 26.0.0, a função `hmacBase64()` no backend Node.js do HAXcms contém dois erros críticos de implementação criptográfica que, juntos, permitem que qualquer atacante não autenticado extraia a chave privada de assinatura do sistema e forje JSON Web Tokens (JWTs) com privilégios de administrador, obtendo acesso administrativo total com uma única requisição HTTP. Primeiro, a função passa a string literal "0" como chave de assinatura HMAC, em vez do parâmetro key, o que faz com que todas as instâncias do HAXcms calculem HMACs idênticos para a mesma entrada. Em seguida, após calcular o HMAC, a função concatena diretamente na saída o parâmetro key real, que é "this.privateKey + this.salt", o segredo mestre de assinatura do sistema. O buffer combinado é codificado em base64 e retornado como token. Todo token base64url produzido tem a mesma estrutura: 32 bytes de HMAC com chave "0" seguidos de N bytes de `privateKey+salt`. Um atacante decodifica em base64 qualquer token, descarta os primeiros 32 bytes e lê a chave privada diretamente. O endpoint `/system/api/connectionSettings` não exige autenticação e retorna vários tokens gerados por essa função. Uma única requisição GET a esse endpoint expõe a chave privada. O backend PHP implementa essa função corretamente, com a chave real, e retorna apenas o hash. A versão PHP produz tokens de 44 caracteres, enquanto a versão Node.js defeituosa produz tokens de 139 ou mais caracteres. A versão 26.0.0 corrige o problema.

CVE-2026-11271 Média · 6.5 CWE-200 04/06/2026