PT-2026-136736

CVE-2026-121582

Publicado

2026-11-03

Atualizado

2026-11-03

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Umami versões anteriores a 3.4.2

Description Existe uma falha de bypass de autorização no Record API Endpoint, no arquivo src/app/api/record/route.ts. Um invasor remoto pode explorar isso manipulando o argumento Website, permitindo a evasão de verificações de segurança.

Recommendations Atualize para a versão 3.4.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint src/app/api/record/route.ts.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Waterhunter

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-285: Improper Authorization

CWE-639: Authorization Bypass Through User-Controlled Key

Identificadores relacionados