Markusleh

**Nome do software vulnerável e versões afetadas** Webhood versões 0.9.0 e anteriores **Descrição** O Webhood é um verificador de URLs auto-hospedado utilizado para analisar sites de phishing e maliciosos. A vulnerabilidade permite que um invasor não autenticado envie uma solicitação HTTP à API de administração do banco de dados (Pocketbase) para criar uma conta de administrador. Isso é possível porque a API de administração do Pocketbase não verifica a autenticação/autorização ao criar uma conta de administrador se nenhuma conta de administrador tiver sido adicionada. Em sua implantação padrão, o Webhood não cria uma conta de administrador no banco de dados, tornando a implantação vulnerável, a menos que os usuários tenham criado manualmente uma conta de administrador. **Recomendações** Para as versões 0.9.0 e anteriores, atualize para a versão 0.9.1 ou posterior, que cria uma conta de administrador gerada aleatoriamente caso ainda não tenham sido criadas contas de administrador, corrigindo assim a vulnerabilidade. Como solução alternativa temporária para as versões 0.9.0 e anteriores, considere desativar totalmente o acesso ao caminho de URL que começa com `/api/admins` para impedir a exploração via rede.