CVE-2026-51119 - Escalação de Privilégios no Invixium IXM WEB v2.3.85.25

Visão Geral

Existe uma vulnerabilidade de escalação de privilégios no Invixium IXM WEB v2.3.85.25 devido à falta de verificações de autorização no endpoint POST /SystemUsers/CreateAppUser.

Um usuário autenticado com privilégios baixos pode abusar deste endpoint para criar uma nova conta de administrador, resultando em acesso administrativo completo.

• CVE: CVE-2026-51119
• Fornecedor: Invixium
• Produto: IXM WEB
• Versão Afetada: 2.3.85.25
• Gravidade: Alta (Escalação de Privilégios)

Descrição da Vulnerabilidade

A aplicação expõe o endpoint:

POST /SystemUsers/CreateAppUser

sem realizar verificações adequadas de autorização no lado do servidor.

Um usuário autenticado comum pode invocar diretamente este endpoint e criar uma conta de administrador, embora essa funcionalidade devesse estar disponível apenas para usuários privilegiados.

Após criar a conta de administrador, o atacante pode autenticar-se usando as credenciais recém-criadas e obter privilégios administrativos completos.

Impacto

A exploração bem-sucedida permite que um atacante autenticado:

• Criar contas de administrador.
• Escalar privilégios.
• Obter acesso administrativo completo à aplicação.
• Gerenciar usuários e funções administrativas.

Requisitos do Ataque

• Conta de usuário autenticada válida.
• Acesso de rede à aplicação alvo.

Causa Raiz

Autorização Imprópria (Falta de Validação de Autorização no Lado do Servidor).

O servidor aceita requisições para funcionalidades privilegiadas sem verificar se o usuário autenticado possui privilégios de administrador.

Endpoint Afetado

POST /SystemUsers/CreateAppUser

Cronologia

Crédito

Descoberto e divulgado de forma responsável por Asim.

Referências

• CVE-2026-51119