CVE-2026-44425

Nome do Software Vulnerável e Versões Afetadas ShellHub versões anteriores a 0.24.2

Descrição O endpoint de lista de dispositivos aceita identificadores controlados pelo usuário que são passados diretamente como chaves BSON/SQL na camada de banco de dados sem validação. Isso ocorre no campo name de cada propriedade de filtro no parâmetro de consulta filter codificado em base64 e no parâmetro de consulta sort by. Um usuário autenticado pode criar payloads que fazem com que a agregação ou consulta falhe, resultando em um erro HTTP 500 sem corpo. Não há limite de taxa (rate limiting) aplicado a essas solicitações. Além disso, a função fromContains() passa a entrada do usuário diretamente como um valor $regex, o que pode permitir a extração cega de regex em campos de string dentro do tenant do chamador e uma potencial amplificação de Negação de Serviço por Expressão Regular (ReDoS) em conjuntos de dados extensos. ReDoS é uma condição em que uma expressão regular complexa leva um tempo exponencial para ser processada, podendo esgotar os recursos do servidor.

Recomendações Atualize para a versão 0.24.2. Como medida paliativa temporária, restrinja o acesso aos parâmetros filter e sort by no endpoint de lista de dispositivos para minimizar o risco de exploração.