CVE-2026-87689

Nome do Software Vulnerável e Versões Afetadas Metasploit Framework versões anteriores a 6.5.5

Descrição A API REST do Metasploit Framework Web Service (msf-ws) contém uma falha onde o Msf::WebServices::CredentialServlet não impõe a autenticação para rotas específicas. Especificamente, os manipuladores update credential (PUT) e delete credentials (DELETE) para o endpoint '/api/v1/credentials' omitem a chamada de autenticação necessária. Como o lib/ms/core/db manager/cred.rb subjacente não realiza suas próprias verificações de autorização, qualquer cliente com acesso de rede ao listener padrão 0.0.0.0:8080 pode ler, modificar ou excluir permanentemente todos os registros de credenciais armazenados, incluindo senhas, hashes e chaves privadas.

Recomendações Atualize o Metasploit Framework para a versão 6.5.5.