Jacek Korta

**Nome do Software Vulnerável e Versões Afetadas** KTM System e-BOK (versões afetadas não especificadas) **Descrição** O KTM System e-BOK permite que o identificador de sessão seja definido pelo cliente antes da autenticação. Se um cookie com um nome válido for configurado, seu valor permanece inalterado após o login bem-sucedido. Esse comportamento permite que um invasor realize a fixação de sessão, definindo um ID de sessão para uma vítima e, posteriormente, sequestrando a sessão autenticada. **Recomendações** Aplicar a correção publicada em junho de 2026.

**Nome do Software Vulnerável e Versões Afetadas** KTM System e-BOK (versões afetadas não especificadas) **Description** Existe uma falha de Cross-Site Request Forgery (CSRF) nas funcionalidades de alteração de e-mail e alteração de senha. Isso ocorre quando um invasor cria um site malicioso que, ao ser visitado por um usuário autenticado, envia automaticamente uma requisição POST forjada para a aplicação. Isso permite que o invasor desencadeie a alteração não autorizada de e-mail ou senha em nome da vítima, sem o seu conhecimento ou interação. **Recommendations** Aplique a correção publicada em junho de 2026.

**Nome do Software Vulnerável e Versões Afetadas** KTM System e-BOK (versões afetadas não especificadas) **Descrição** O sistema impõe uma política de senha fraca ao limitar as senhas a um máximo de seis dígitos numéricos e proibir o uso de caracteres alfabéticos, especiais ou estendidos. **Recomendações** Aplicar a correção publicada em junho de 2026.

KTM System e-BOK does not implement any limit or timeout on consecutive login attempts, allowing an attacker to perform unlimited authentication requests. This lack of rate‑limiting enables efficient brute‑force attacks against user accounts. When combined with vulnerability CVE-2026-35097, where passwords are restricted to a six‑digit numeric format, this becomes a critical issue, as such passwords can be brute‑forced in a relatively short time. This issue was fixed in the patch published in June 2026.