PT-2026-125078
CVE-2026-116634
·
Publicado
2026-10-26
·
Atualizado
2026-10-26
Descrição por
CVSS 3.1
5.9
MédiaMétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
OmniRoute 3.8.50 before 3.8.52 contains a missing authentication vulnerability that allows unauthenticated attackers to issue sync tokens via POST /api/sync/tokens when requireLogin is disabled. Attackers can use the issued token against GET /api/sync/bundle to retrieve decrypted provider credentials and plaintext API keys, with tokens persisting after login is re-enabled.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾