CVE-2026-48518

Nome do Software Vulnerável e Versões Afetadas MultiJuicer versões 8.0.0 a 10.0.0

Descrição O endpoint de adesão à equipe 'POST /multi-juicer/api/teams/{team}/join' aceita requisições com qualquer Content-Type, incluindo text/plain. Como esse tipo de conteúdo não dispara um preflight de Cross-Origin Resource Sharing (CORS) — um mecanismo usado pelos navegadores para verificar se uma requisição entre sites é segura —, um invasor pode usar um formulário HTML cross-site para forçar o navegador de uma vítima a fazer login na equipe do invasor. Isso permite que um invasor aumente a pontuação de sua equipe em um contexto de Capture The Flag (CTF) usando a atividade de outros jogadores e capture dados sensíveis inseridos pela vítima. O problema pode ser explorado sem autenticação se a vítima visitar uma página controlada pelo invasor enquanto tiver acesso à rede da implantação. O uso de SameSite=Strict em cookies de sessão não previne este ataque, pois ele planta um novo cookie em vez de usar um existente.

Recomendações Atualizar para a versão 10.0.1.