CVE-2026-115333

Nome do Software Vulnerável e Versões Afetadas Lotus versões anteriores a 0.10.3

Description Existe uma autenticação inadequada no middleware de ingestão de eventos em Go. O sistema valida as chaves de API apenas pelo prefixo e não verifica o segredo em relação à hashed key armazenada. Isso permite que um invasor com conhecimento do prefixo de uma chave de API envie eventos de uso para o endpoint 'POST /api/track/', permitindo a personificação de uma organização e a manipulação de seu uso medido e faturamento.

Recommendations Atualize o Lotus para a versão 0.10.3 ou posterior. Restrinja o acesso ao endpoint 'POST /api/track/' para minimizar o risco de envio de eventos não autorizados.