PT-2026-104598

CVE-2026-105131

Publicado

2026-10-04

Atualizado

2026-10-06

Descrição por

CVSS 3.1

5.4

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas ezBookkeeping versões 1.2.0 até 2.0.0

Description Um problema de escalonamento de privilégios existe onde atacantes que possuem um token de API podem obter um token de sessão completo. Isso ocorre porque a função TokenRefreshHandler não verifica o tipo de token, permitindo que tokens de API de curta duração ou restritos por IP sejam trocados por tokens de sessão normais de 30 dias. Este processo ignora a expiração do token de API e as listas de permissões (allowlists) através do endpoint '/api/v1/tokens/refresh.json'.

Recommendations Atualize o ezBookkeeping para a versão 2.0.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Evil0Rd

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

Identificadores relacionados