CVE-2026-94455

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição Um endpoint HTTP utilizado para o provisionamento de organizações empresariais e de revendedores está acessível sem sessão, pois o middleware de autenticação não inclui o controlador empresarial em sua lista de controladores protegidos. O endpoint verifica apenas se o corpo da requisição contém um token assinado com o segredo da instância, mas não valida o propósito, a audiência ou a expiração do token. Consequentemente, um token de sessão de usuário comum pode ser utilizado para ignorar a autenticação. A exploração bem-sucedida permite que um invasor crie uma nova organização com o nível de assinatura mais alto, sinalizada como vitalícia e com uma permissão de canais superior a qualquer plano vendido, além de criar uma conta de proprietário da organização e obter uma chave de API válida para a API pública.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.