Base de CVEs

ChurchCRM is an open-source church management system. From 7.2.0 to 7.2.2, The fix for CVE-2026-4058 is incomplete. The hardening commit was merged and then silently stripped from src/api/routes/public/public-user.php by an unrelated PR before any 7.2.x tag was cut. Every shipped 7.2.x release therefore remains exploitable by the PoC published with the original advisory. This vulnerability is fixed in 7.3.1.

O Pingvin Share X é uma plataforma auto-hospedada de compartilhamento de arquivos, segura e fácil de usar. Das versões 1.14.1 até 1.16.2, uma vulnerabilidade crítica de bypass de autenticação permite que um atacante que tenha obtido um nome de usuário e uma senha válidos ignore completamente a exigência de segundo fator de autenticação (TOTP). Embora, um atacante ainda precisa da senha do usuário para chegar a essa etapa. Esta vulnerabilidade está corrigida na versão 1.16.3.

A biblioteca Java Key Vault Keys no Azure SDK for Java contém um problema no caminho de verificação criptográfica local, em que a comparação da tag de autenticação foi implementada incorretamente. Em aplicações afetadas que usam o caminho de criptografia local vulnerável, entradas criptografadas especialmente elaboradas podem contornar as verificações de integridade. Operações delegadas ao serviço Key Vault não são afetadas. O problema foi corrigido na versão 4.10.6.

SOCFortress CoPilot foca em oferecer um painel único para todas as necessidades de operações de segurança. Antes da versão 0.1.57, o SOCFortress CoPilot inclui um segredo de assinatura JWT fixo como valor de fallback em backend/app/auth/utils.py:28 e o distribui literalmente em .env.example. Qualquer implantação em que JWT_SECRET não seja definido explicitamente — incluindo a configuração padrão do Docker Compose — assina todos os tokens de autenticação com esse valor publicamente conhecido. Um atacante não autenticado pode forjar JWTs com escopo de administrador arbitrários e obter controle total da aplicação e de todas as ferramentas de segurança que ela gerencia, sem nenhuma credencial. Esta vulnerabilidade está corrigida na versão 0.1.57.

A vulnerability was detected in OpenClaw up to 2026.1.24. The impacted element is the function handleBlueBubblesWebhookRequest of the file extensions/bluebubbles/src/monitor.ts of the component bluebubbles Webhook. Performing a manipulation results in improper authentication. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 2026.2.12 is sufficient to resolve this issue. The patch is named a6653be0265f1f02b9de46c06f52ea7c81a836e6. The affected component should be upgraded.

A biblioteca auth fornece autenticação via OAuth2, direta e por e-mail. Das versões 1.18.0 até antes da 1.25.2 e das versões 2.0.0 até antes da 2.1.2, o provedor OAuth do Patreon mapeia cada conta Patreon autenticada para o mesmo user.ID local, em vez de derivar um ID único a partir da conta Patreon retornada pelo Patreon. Na prática, isso significa que todos os usuários autenticados via Patreon de uma aplicação que usa esta biblioteca são reunidos em uma única identidade local. Qualquer aplicação que trate token.User.ID como chave estável de conta pode acabar misturando ou fundindo totalmente usuários Patreon não relacionados, o que pode levar a acesso entre contas, confusão de privilégios e vazamento de estado de assinatura. Este problema foi corrigido nas versões 1.25.2 e 2.1.2.

openvpn-auth-oauth2 é um cliente de interface de plugin/gerenciamento para servidores OpenVPN, usado para tratar fluxos de autenticação single sign-on (SSO) baseados em OIDC. Da versão 1.26.3 até antes da versão 1.27.3, quando o openvpn-auth-oauth2 é implantado no modo experimental de plugin (biblioteca compartilhada carregada pelo OpenVPN por meio da diretiva plugin), clientes que não suportam WebAuth/SSO (por exemplo, o cliente openvpn de linha de comando no Linux) são admitidos incorretamente na VPN, apesar de negados pela lógica de autenticação. O modo padrão de interface de gerenciamento não é afetado, pois não usa o mecanismo de código de retorno de plugin do OpenVPN. Este problema foi corrigido na versão 1.27.3.

Nhost é uma alternativa de código aberto ao Firebase, com GraphQL. Antes da versão 0.49.1, o Nhost vincula automaticamente uma identidade OAuth recebida a uma conta Nhost existente quando os endereços de e-mail coincidem. Isso só é seguro quando o e-mail foi verificado pelo provedor OAuth. O controlador do Nhost confia em um booleano profile.EmailVerified definido por cada adaptador de provedor. A vulnerabilidade é que vários adaptadores de provedor não preenchem esse campo corretamente: ou descartam silenciosamente um campo verified que a API do provedor realmente retorna (Discord), ou recorrem a aceitar e-mails não confirmados marcando-os como verificados (Bitbucket). Dois provedores Microsoft (AzureAD, EntraID) derivam o e-mail de campos que não comprovam posse, como o user principal name, e depois o marcam como verificado. Como resultado, um invasor pode apresentar ao Nhost um e-mail que não possui, fazer com que a identidade OAuth seja mesclada à conta da vítima e receber uma sessão autenticada completa. Este problema foi corrigido na versão 0.49.1.

CoreDNS is a DNS server written in Go. In versions prior to 1.14.3, the gRPC, QUIC, DoH, and DoH3 transport implementations incorrectly handle TSIG authentication. For gRPC and QUIC, the server checks whether the TSIG key name exists in the configuration but never calls dns.TsigVerify() to validate the HMAC. If the key name matches a configured key, the tsigStatus field remains nil and the tsig plugin treats the request as successfully authenticated regardless of the MAC value. For DoH and DoH3, the issue is more severe: the DoHWriter.TsigStatus() method unconditionally returns nil, and the server never inspects the TSIG record at all. Any request containing a TSIG record is treated as authenticated over DoH and DoH3, even if the key name is invalid and the MAC is arbitrary. An unauthenticated network attacker can exploit this to bypass TSIG-protected functionality such as AXFR/IXFR zone transfers, dynamic DNS updates, or other TSIG-gated plugin behavior. The DoH and DoH3 variants have a lower exploitation bar because the attacker does not need to know a valid TSIG key name. This issue has been fixed in version 1.14.3. As a workaround, disable gRPC, QUIC, DoH, and DoH3 listeners where TSIG authentication is required, or restrict network-level access to affected transport ports to trusted sources only.

OpenCTI é uma plataforma de código aberto para gestão de conhecimento sobre inteligência de ameaças cibernéticas e observáveis. Nas versões 6.6.0 até 6.9.12, há uma vulnerabilidade de escalonamento de privilégios que pode ser explorada por atacantes não autenticados para consultar a API como qualquer usuário existente, incluindo a conta admin padrão. Este problema foi corrigido na versão 6.9.13. Como solução de contorno, a conta admin padrão pode ser desativada usando a configuração APP__ADMIN__EXTERNALLY_MANAGED.

O plugin MoreConvert Pro para WordPress é vulnerável a Bypass de Autenticação em todas as versões até, e incluindo, a 1.9.14. Isso ocorre porque o fluxo de verificação da lista de espera de convidados não invalida nem regenera os tokens de verificação quando o endereço de e-mail do cliente é alterado. Isso torna possível que atacantes não autenticados se autentiquem como usuários existentes, incluindo administradores, ao obter um token de verificação válido para um e-mail controlado pelo atacante, alterar o e-mail do mesmo cliente convidado para o e-mail da conta alvo pelo fluxo público da lista de espera e, em seguida, usar o link de verificação original.

O Note Mark é um aplicativo de anotações de código aberto. Na versão 0.19.2, IsPasswordMatch em backend/db/models.go recorre a um placeholder bcrypt("null") fixo sempre que um usuário não possui senha armazenada. Usuários registrados via OIDC são criados com senha vazia, então qualquer pessoa que envie password: "null" para o endpoint de login interno recebe uma sessão válida para esse usuário. O bypass é não autenticado e não requer interação do usuário. Este problema foi corrigido na versão 0.19.3.