Divulgações de Vulnerabilidades de Segurança — CVE-2026-78829 / 78830 / 78831 / 78832

Divulgações técnicas públicas e etapas de reprodução de prova de conceito para quatro vulnerabilidades às quais foram atribuídos IDs CVE pelo MITRE CVE Program (solicitação de CVE registrada em 2026-06-20).

Vulnerabilidades Divulgadas

ID CVE	Produto	Vulnerabilidade	CWE	CVSS 3.1	Autenticação necessária
CVE-2026-78829	Dromara MaxKey 4.x	XSS refletido via `redirect_uri` no fluxo OAuth → roubo de sessão/JWT de administrador	CWE-79	8.2 Alta	Não (link manipulado)
CVE-2026-78830	mingSoft MCMS 6.1.1	XSS armazenado via `/file/upload` não autenticado	CWE-79	6.1 Média	Não
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Alteração arbitrária de senha de usuário não autenticada via `/api/dynamic/Invoke`	CWE-306	9.1 Crítica	Não
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Divulgação de informações sensíveis não autenticada via `/api/dynamic/GetList`	CWE-200	8.6 Alta	Não

Cada pasta contém:

README.md — aviso completo: descrição oficial do CVE, análise de causa raiz, reprodução passo a passo (pares de requisição/resposta HTTP e comandos únicos curl), impacto, correção, referências e cronologia.
CVE-2026-XXXXX.json — o registro da vulnerabilidade no formato CVE JSON 5, correspondendo à estrutura usada pelo repositório oficial cvelistV5, preparado pelo relator para referência.

Nota sobre a cadeia de ataque (OpenAuth.Net)

CVE-2026-78831 e CVE-2026-78832 compartilham a mesma causa raiz — a Dynamic API (/api/dynamic/*) não realiza autenticação/autorização — e podem ser combinados em uma cadeia completa de tomada de controle não autenticada:

GetList (CVE-2026-78832) extrai SysUser → todas as credenciais em texto claro;
Invoke (CVE-2026-78831) altera a senha do administrador (ou simplesmente faça login com a senha extraída);
O endpoint /api/Files/Upload irrestrito e não autenticado (reportado separadamente, ainda sem ID CVE atribuído) permite upload arbitrário de arquivos com potencial de WebShell/RCE.

Descobertas adicionais (sem ID CVE atribuído)

Durante a mesma pesquisa, dois outros problemas não autenticados foram identificados no OpenAuth.Net, mas não receberam IDs CVE na atribuição atual:

Exclusão de dados não autenticada via /api/dynamic/Delete (CWE-285, incluindo exclusão de log de auditoria para antiforense) — Média;
Upload de arquivo irrestrito e não autenticado via /api/Files/Upload (CWE-434, potencial de RCE) — Crítica.

Estes estão documentados no relatório de pesquisa local e podem ser submetidos ao CVE Program separadamente.

Divulgação Responsável

Toda a reprodução foi realizada em ambientes de laboratório controlados, contra instâncias de teste de propriedade privada ou alvos autorizados. Valores sensíveis nas respostas capturadas (senhas, tokens, segredos) estão ocultados nestes relatórios. Estas divulgações são publicadas exclusivamente para fins defensivos — para ajudar os usuários dos produtos afetados a avaliar e mitigar o risco.

Cronologia

Data	Evento
2026-06-20	Solicitação de CVE registrada no MITRE CVE Program
2026-06-24	Verificação em laboratório do OpenAuth.Net concluída
2026-06	CVE-2026-78829 ~ CVE-2026-78832 atribuídos pelo MITRE
2026-10-30	Divulgação técnica pública no GitHub

Descoberto e reportado por CloudFutureSec (@CloudFutureSec).

cve-disclosures

Mais Populares