Base de CVEs

Autenticação imprópria no Azure Resource Manager (ARM) permite que um atacante não autorizado eleve privilégios pela rede.

O Sunshine é um host self-hosted de streaming de jogos para o Moonlight. Nas versões anteriores a 2026.516.143833, a autenticação por certificado de cliente pode ser contornada devido à forma como os resultados de verificação do OpenSSL são tratados. No arquivo src/crypto.cpp, o callback de verificação personalizado trata X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY, X509_V_ERR_CERT_NOT_YET_VALID e X509_V_ERR_CERT_HAS_EXPIRED como sucesso. Isso pode permitir que um certificado não confiável passe pela autenticação e acesse endpoints HTTPS protegidos. Este problema foi corrigido na versão 2026.516.143833.

Vulnerabilidade de autenticação inadequada (Improper Authentication) no Apache OFBiz por meio de falha na lógica de troca de senha, levando à execução remota de código Esta questão afeta o Apache OFBiz: versões anteriores à 24.09.06. Recomenda-se que os usuários atualizem para a versão 24.09.06, que corrige o problema.

Improper authentication in Azure Local Disconnected Operations allows an unauthorized attacker to elevate privileges over a network.

O Open WebUI é uma plataforma de inteligência artificial de autohospedagem, projetada para operar totalmente offline. Antes da versão 0.9.0, o endpoint de autenticação LDAP não valida se a senha enviada não está vazia antes de executar um Simple Bind no servidor LDAP. O modelo Pydantic LdapForm aceita password: str sem restrição de tamanho mínimo, de modo que uma string vazia passa na validação. A chamada subsequente Connection.bind() tem sucesso em servidores LDAP vulneráveis, e a aplicação emite um token de sessão completo para o usuário alvo. Esta vulnerabilidade é corrigida na versão 0.9.0.

O plugin Form Notify para WordPress é vulnerável a Bypass de Autenticação nas versões até e incluindo 1.1.10. Isso ocorre porque o plugin confia em dados de cookie controlados pelo usuário para determinar qual conta WordPress deve ser autenticada após um login OAuth do LINE. Quando o LINE não fornece um endereço de e-mail (o que é comum), o plugin recorre ao valor do cookie 'form_notify_line_email' sem verificar se a conta LINE está associada a esse endereço. Isso torna possível que atacantes não autenticados ganhem acesso a qualquer conta de usuário do site, incluindo contas de administrador, ao concluir um fluxo OAuth do LINE com a própria conta LINE enquanto injetam um cookie malicioso contendo o endereço de e-mail da vítima.

May 2026: This security advisory provides the details and fix information for a vulnerability that was discovered and fixed after the was disclosed in February 2026. This new advisory is for a new vulnerability in the control connection handshaking. The section of this advisory includes Show Control Connections guidance to help with system checks.  A vulnerability in the peering authentication in Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, and Cisco Catalyst SD-WAN Validator, formerly SD-WAN vBond, could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to the affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric.

O plugin Burst Statistics – Privacy-Friendly WordPress Analytics (Google Analytics Alternative) para WordPress é vulnerável a Bypass de Autenticação nas versões 3.4.0 a 3.4.1.1. Isso se deve a tratamento incorreto do valor de retorno na função is_mainwp_authenticated() ao validar senhas de aplicação do cabeçalho Authorization. Isso torna possível que atacantes não autenticados, conhecendo o nome de usuário de um administrador, se passem por esse administrador durante a requisição fornecendo qualquer senha aleatória de Basic Authentication, alcançando escalonamento de privilégios.

fast-jwt fornece uma implementação rápida de JSON Web Tokens (JWT). Antes da versão 6.2.4, uma vulnerabilidade crítica de bypass de autenticação no fluxo de resolvedor de chaves assíncrono do fast-jwt permite que qualquer atacante não autenticado forje JWTs arbitrários que são aceitos como autênticos. Quando o resolvedor de chaves da aplicação retorna uma string vazia (''), por exemplo por meio do fallback estilo JWKS keys[decoded.header.kid] || '', o fast-jwt a converte em um Buffer de comprimento zero, a passa para crypto.createSecretKey, deriva allowedAlgorithms = ['HS256','HS384','HS512'] a partir dela e então verifica a assinatura do token contra um HMAC com chave vazia. O atacante simplesmente calcula HMAC-SHA256(key='', input='${header}.${payload}'), que o Node aceita sem reclamar, e o verificador retorna o payload escolhido pelo atacante (sub, admin, scopes etc.) como autêntico. Esta vulnerabilidade está corrigida na versão 6.2.4.

ChurchCRM is an open-source church management system. From 7.2.0 to 7.2.2, The fix for CVE-2026-4058 is incomplete. The hardening commit was merged and then silently stripped from src/api/routes/public/public-user.php by an unrelated PR before any 7.2.x tag was cut. Every shipped 7.2.x release therefore remains exploitable by the PoC published with the original advisory. This vulnerability is fixed in 7.3.1.