CVE-2026-109823

Nome do Software Vulnerável e Versões Afetadas tidewave versões 0.8.0 até 0.9.1

Description Um invasor pode ler os caminhos do sistema de arquivos de uma aplicação através da configuração do Tidewave. Isso ocorre porque o servidor não valida o cabeçalho Host e a função check origin() aceita requisições que não possuem um cabeçalho Origin. Uma página web maliciosa pode usar DNS rebinding para redirecionar seu domínio para o endereço de loopback e realizar uma requisição de mesma origem para recuperar informações sensíveis. Os dados expostos, que incluem o nome de usuário local e o layout do projeto, são vazados através do endpoint /tidewave/connect ou através da barra de ferramentas renderizada e injetada em respostas HTML pela função Tidewave.call(). Especificamente, a função Tidewave.tidewave config meta/1 coleta dados como root, framework.app paths, wsl distro e host path e os insere em uma tag meta.

Recommendations Atualize o tidewave para a versão 0.9.2 ou posterior.