PT-2026-22583 · Simstudio · Simstudio

CVE-2026-3432 · Publicado 2026-03-02 · Atualizado 2026-03-07

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do SimStudio anteriores à 0.5.74

Descrição O endpoint /api/auth/oauth/token no SimStudio possui um caminho de código que contorna as verificações de autorização quando fornecidos os parâmetros credentialAccountUserId e providerId. Um atacante não autenticado pode obter tokens de acesso OAuth para qualquer usuário fornecendo o ID do usuário e o nome de um provedor, potencialmente comprometendo credenciais de serviços de terceiros.

Recomendações Atualize o SimStudio para a versão 0.5.74 ou posterior. Como solução temporária, restrinja o acesso ao endpoint /api/auth/oauth/token.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-3432

Produtos afetados

Simstudio

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/3xxx/CVE-2026-3432.json · Exploit
• https://github.com/simstudioai/sim · Nota
• https://twitter.com/dailycve/status/2030069081332646302 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2028478105120104628 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2028478023809339514 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-3432 · Aviso do Fabricante
• https://t.me/cveNotify/153718 · Publicação no Telegram
• https://t.me/CVEtracker/46120 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-3432 · Nota de Segurança
• https://twitter.com/cracbot/status/2030237087937835231 · Publicação no Twitter
• https://tenable.com/security/research/tra-2026-13 · Nota