PT-2026-29709 · Ella Core · Ella Core

Offset · Publicado 2026-04-01 · Atualizado 2026-04-03 · CVE-2026-34762

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.7

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Ella Core versões anteriores a 1.8.0

Description A endpoint da API PUT /api/v1/subscriber/{imsi} aceita um identificador IMSI tanto do caminho da URL quanto do corpo da solicitação JSON sem verificar se eles correspondem. Isso permite que um NetworkManager autenticado modifique a política de qualquer assinante enquanto o rastreamento de auditoria registra um IMSI de assinante fabricado ou não relacionado. Um invasor pode modificar a Política de Qualidade de Serviço (QoS) de um assinante, degradando potencialmente o serviço ou alterando o roteamento do tráfego, enquanto o log de auditoria atribui a alteração a um assinante inexistente ou não relacionado.

Recommendations Atualize para a versão 1.8.0 ou posterior.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2026-34762

GHSA-XW45-CC32-442F

Produtos afetados

Ella Core

Referências · 7

• https://github.com/ellanetworks/core · Nota
• https://github.com/ellanetworks/core/security/advisories/GHSA-xw45-cc32-442f · Aviso do Fabricante
• https://github.com/ellanetworks/core/commit/7f64b7a7c7a22cb9c05ac2c1c3a0cf0eaefac3e5 · Nota
• https://github.com/ellanetworks/core/releases/tag/v1.8.0 · Nota
• https://twitter.com/CVEnew/status/2040128774012809681 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-xw45-cc32-442f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34762 · Nota de Segurança