PT-2026-29313 · Scitokens · Scitokens

Pmcao · Publicado 2026-03-31 · Atualizado 2026-04-02 · CVE-2026-32726

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions SciTokens C++ versões anteriores a 1.4.1

Description A biblioteca SciTokens C++, utilizada para criar e utilizar SciTokens, contém uma falha na validação de escopo baseada em caminho. O executor realiza uma comparação de prefixo de string para verificar se um caminho de recurso solicitado está dentro do escopo autorizado de um token. Essa verificação carece de aplicação de limite de segmento de caminho, permitindo que um token com escopo para um caminho autorize incorretamente o acesso a caminhos irmãos que compartilham o mesmo prefixo.

Recommendations Atualize para a versão 1.4.1 ou posterior.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-32726

GHSA-Q5FM-FGVX-32JQ

Produtos afetados

Scitokens

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/32xxx/CVE-2026-32726.json · Exploit
• 🔥 https://github.com/scitokens/scitokens-cpp/security/advisories/GHSA-q5fm-fgvx-32jq · Exploit
• https://github.com/scitokens/scitokens-cpp/commit/decfe2f00cb9cabbf1e17a3bb2cd4ea1bbbd8a73 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-32726 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-32726 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-32726 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-32726 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-32726 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2039207310141354230 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-32726 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-32726 · Aviso do Fabricante