CVE-2026-49471

Nome do Software Vulnerável e Versões Afetadas Serena versões anteriores a 1.5.2

Descrição O painel web integrado expõe uma API Flask não autenticada em uma porta fixa e previsível. Esta API carece de autenticação, proteção contra Cross-Site Request Forgery (CSRF) e validação do cabeçalho Host. Um ataque de DNS rebinding—uma técnica que ignora a Same-Origin Policy ao alterar o endereço IP associado a um nome de domínio—permite que uma página web maliciosa acesse esta API por meio de um navegador. Isso permite que um invasor escreva conteúdo arbitrário no armazenamento de memória persistente do agente. Quando combinado com a função execute shell command() usando shell=True, essa sequência permite a execução remota de código caso um usuário visite uma página web maliciosa enquanto o software estiver em execução.

Recomendações Atualize para a versão 1.5.2.