PT-2026-136718

CVE-2026-121735

Publicado

2026-11-03

Atualizado

2026-11-03

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas blueprintUE self-hosted edition versões anteriores a 4.3.4

Description Existe um problema de expiração de sessão insuficiente onde a função findUserIDWithConfirmedToken() em UserModel ignora a variável confirmed sent at. Isso permite que invasores que obtenham um link de confirmação antigo de uma caixa de correio comprometida, backup ou e-mail encaminhado ativem contas não confirmadas e evitem a tarefa de limpeza de contas não confirmadas.

Recommendations Atualize o blueprintUE self-hosted edition para a versão 4.3.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-613: Insufficient Session Expiration

Identificadores relacionados

CVE-2026-121735