CVE-2026-63100

Nome do Software Vulnerável e Versões Afetadas Maybe versões anteriores a 0.6.0

Descrição Usuários autenticados com funções de membro de baixo privilégio podem acessar e modificar as configurações globais de hospedagem. Isso ocorre porque o filtro ensure admin é aplicado apenas à ação clear cache dentro do Settings::HostingsController, deixando as ações show e update desprotegidas. Um invasor pode explorar isso para ler a chave de API Synth do operador em texto simples, sobrescrevê-la com um valor personalizado, alternar as configurações de registro público e desativar os requisitos de confirmação de e-mail.

Recomendações Atualize para a versão 0.6.0 ou posterior. Restrinja o acesso ao Settings::HostingsController para evitar que usuários não autorizados acessem as ações show e update.