CVE-2026-76238

Nome do Software Vulnerável e Versões Afetadas stigmem versões anteriores a 0.9.0a12

Descrição Existe um problema no endpoint de decay sweep onde a autorização quebrada no nível do objeto permite que invasores autenticados com credenciais de gravação de um único locatário (tenant) executem operações de decay em todos os locatários. Ao enviar solicitações POST para o endpoint de decay sweep, os invasores podem usar a variável ttl seconds definida como 0 para expirar fatos de todos os locatários ou utilizar a variável dry run para obter contagens de fatos e informações de existência entre locatários.

Recomendações Atualize o stigmem para a versão 0.9.0a12 ou posterior. Restrinja o acesso ao endpoint de decay sweep para minimizar o risco de operações não autorizadas entre locatários.