CVE-2026-50000

Nome do Software Vulnerável e Versões Afetadas SecureDrop versões 2.5.0 até 2.15.0

Descrição A Journalist Interface permite o uso de um token de API session na web UI porque a SessionInterface mantém um prefixo de chave de sessão mutável que altera e persiste entre as requisições. Essa corrupção de prefixo confunde os namespaces de sessão no Redis. Um invasor com acesso ao endereço onion secreto da Journalist Interface, autenticação necessária e um token de API session válido pode reutilizar esse token para acessar a web UI por até oito horas. Além disso, o prefixo corrompido pode impedir que o processo de logout exclua a sessão correta no Redis. Uma conta de jornalista comprometida pode ser usada para acessar envios criptografados e realizar ações amplas em envios de fontes, embora os envios em texto simples permaneçam protegidos e a disponibilidade do sistema não seja afetada.

Recomendações Atualizar para a versão 2.16.0.