Red Os · Red Os · CVE-2026-44884
**Nome do Software Vulnerável e Versões Afetadas**
Portainer Community Edition versões 2.33.0 a 2.33.7
Portainer Community Edition versões 2.39.0 a 2.39.0
Portainer Community Edition versões anteriores a 2.33.0
**Description**
Uma falha de autorização no endpoint de arquivo de Modelo Personalizado "GET /api/custom templates/{id}/file" permite que qualquer usuário autenticado leia o conteúdo do arquivo de qualquer modelo personalizado. Isso é feito através da enumeração de IDs inteiros sequenciais na variável `id`, ignorando as restrições de acesso do Controle de Recursos. A função `customTemplateFile()` recupera o modelo por seu ID numérico e retorna o conteúdo sem realizar nenhuma verificação de autorização. Os arquivos de modelo podem conter valores sensíveis específicos do ambiente, como strings de conexão, tokens de API ou credenciais de registro.
**Recommendations**
Atualize para a versão 2.33.8.
Atualize para a versão 2.39.1.
Atualize para uma versão suportada.
Evite armazenar segredos em modelos personalizados, movendo valores de configuração sensíveis para variáveis de ambiente ou para um armazenamento de segredos externo.
Revise os modelos personalizados existentes em busca de segredos incorporados e rotacione quaisquer credenciais que possam ter sido expostas.