Augmentt: Escalação de Privilégios via Manipulação de Parâmetros

Créditos

Este CVE foi um esforço colaborativo entre:
HelloWorld (Autor) – GitHub: https://github.com/Penquinsecq
Raznov – GitHub: https://github.com/basraznov

Descrição

Uma vulnerabilidade na aplicação web permite que usuários comuns escalem seus privilégios para os de um superadministrador através da manipulação de parâmetros, possibilitando acesso e modificação de informações sensíveis.

[!CAUTION]Esta pesquisa é publicada para fins educacionais e defensivos. As vulnerabilidades foram divulgadas de forma responsável e coordenadas antes da publicação.

Produto: Aplicação Web Augmentt
Versão: Versão desconhecida, mas lançamento anterior a outubro de 2025
Data: 02 de outubro de 2025
Link do software: https://app.augmentt.com/
ID CVE: CVE-2026-6356
Categoria: Aplicação Web\

Passos para Reproduzir

1. Faça login como um usuário comum
2. Navegue até o menu "Suporte" em "Gerenciamento"
3. Intercepte a resposta HTTP usando uma ferramenta de proxy
4. Modifique o parâmetro de permissão
5. Encaminhe a resposta

Prova de Conceito

Consulte o arquivo PDF.

Impacto

• Acesso não autorizado a funções de administrador
• Exposição de informações de administrador e
• Modificação de dados

Linha do Tempo

Resposta do Fornecedor

No momento da redação, o fornecedor não respondeu a múltiplas tentativas de divulgação.

Mitigação

Correções recomendadas: O servidor deve consultar a função/permissão do usuário autenticado a partir de um banco de dados seguro no backend e aplicar regras de acesso baseadas exclusivamente nesses dados verificados do lado do servidor. Mesmo que o invasor consiga tornar visível o item de menu não autorizado, o endpoint da API ao qual o item de menu está vinculado deve realizar sua própria verificação de acesso obrigatória antes de processar qualquer dado.

Referências

• KB CERT: [Se publicado]

Mantenedores:

• HelloWorld (https://github.com/Penguinsecq)
• Raznov (https://github.com/basraznov)