PT-2026-113341

CVE-2026-63172

Publicado

2026-10-13

Atualizado

2026-10-13

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.0

Descrição Um controle de acesso quebrado permite que um membro não administrativo crie contas de usuário ao invocar a ação de edição de usuário. Isso ocorre porque a função actionVueEditUser carece de uma verificação de autorização no nível da função, especificamente a ausência da aplicação do editRight(), o que pode levar à escalada de privilégios.

Recomendações Atualize para a versão 26.10.0 ou posterior. Como medida de mitigação temporária, restrinja o acesso à função actionVueEditUser.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Geoffrey Robert

Valentin Holubec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization