CVE-2026-97063

Nome do Software Vulnerável e Versões Afetadas X-SpringBoot versões anteriores a 6.0

Description Endpoints não autenticados retornam códigos de verificação de login diretamente nas respostas HTTP sem enviá-los aos proprietários das contas. Um invasor pode solicitar esses códigos usando um número de celular ou endereço de e-mail conhecido através dos endpoints 'GET /sys/mobile/code' e 'GET /sys/email/code'. Ao ler os códigos nas respostas, o invasor pode então se autenticar como a vítima por meio do endpoint 'POST /sys/emailOrMobileLogin/login' para sequestrar contas.

Recommendations Atualize o X-SpringBoot para uma versão posterior a 6.0. Restrinja o acesso aos endpoints 'GET /sys/mobile/code' e 'GET /sys/email/code' para evitar solicitações de código não autorizadas.