CVE-2026-77767

Nome do Software Vulnerável e Versões Afetadas Reconmap (versões afetadas não especificadas)

Descrição Existe uma falha de bypass de autorização na API devido a uma política de fallback em apps/api/app/Program.cs que é ignorada pelo atributo [AllowAnonymous] em apps/api/app/Controllers/ReportsController.cs. A função PreviewReport carrega dados do projeto e da organização com base no segmento de caminho id sem realizar verificações de autenticação, associação ao projeto ou funções. Como o id é uma chave primária de auto-incremento, chamadores remotos não autenticados podem usar IDs sequenciais para recuperar detalhes sensíveis de engajamentos de testes de invasão e informações de organizações clientes, incluindo nomes, endereços e URLs. Além disso, as respostas 404 revelam a existência de IDs de projetos específicos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.