PT-2026-2167 · Gestsup · Gestsup

Geoffrey Robert + 2 · Publicado 2026-01-09 · Atualizado 2026-01-09 · CVE-2026-22194

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.9

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:L/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Versões do GestSup até e incluindo a 3.2.56

Descrição A aplicação não verifica a autenticidade das solicitações do cliente, levando a uma condição de falsificação de solicitação entre sites (CSRF). Um atacante pode potencialmente enganar um usuário autenticado para enviar solicitações maliciosas, permitindo que o atacante execute ações com as permissões do usuário. Especificamente, isso pode ser usado para criar contas privilegiadas visando o endpoint de criação de usuário administrativo ''/admin/createUser''. A função createUser() é vulnerável a este ataque.

Recomendações Recomenda-se a utilização de versões anteriores à 3.2.56.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-22194

Produtos afetados

Gestsup

Referências · 6

• https://gestsup.fr/index.php?page=changelog · Nota
• https://t.me/CVEtracker/41865 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2009670031626346953 · Publicação no Twitter
• https://vulncheck.com/advisories/gestsup-csrf-allows-privileged-actions · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22194 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22194 · Aviso do Fabricante