Nesquena-Hermesin

**Nome do Software Vulnerável e Versões Afetadas** Hermes WebUI versões anteriores a 0.51.409 **Descrição** Existe uma falha de bypass de autenticação nos endpoints de registro de passkey. Quando `HERMES WEBUI PASSKEY=1` está habilitado e não existem credenciais, atacantes remotos não autenticados podem registrar passkeys arbitrárias. Isso ocorre porque os endpoints 'POST /api/auth/passkey/register/options' e 'POST /api/auth/passkey/register' estão acessíveis sem autenticação, permitindo que um atacante reivindique a primeira passkey e obtenha controle administrativo permanente. **Recomendações** Atualize para a versão 0.51.409 ou posterior.