CVE-2026-44424

Nome do Software Vulnerável e Versões Afetadas ShellHub versões anteriores a 0.24.2

Descrição Existe um problema onde o endpoint "/api/devices/:uid" retorna o objeto completo do dispositivo para qualquer usuário autenticado sem verificar se o dispositivo pertence ao namespace (tenant) do solicitante. Um usuário autenticado que possua um JWT ou Chave de API e que conheça ou consiga adivinhar o uid de um dispositivo pode ler metadados de dispositivos de outros namespaces. Isso leva à divulgação entre tenants de informações como nomes de host, endereços MAC, impressões digitais de SO, chaves SSH públicas, nomes de namespace, carimbos de data/hora da última visualização e endereços remotos, que podem ser usados para enumeração de namespaces e reconhecimento de inventário de dispositivos.

Recomendações Atualize para a versão 0.24.2.