PT-2026-31470 · Werkzeug+2 · Werkzeug+2

Mobasi-Team · Publicado 2026-04-08 · Atualizado 2026-04-09 · CVE-2026-40035

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Unfurl versões até 2025.08

Description Unfurl até 2025.08 apresenta uma falha de validação de entrada inadequada na análise de configuração que habilita o modo de depuração do Flask por padrão. O valor da configuração de depuração é lido como uma string e passado diretamente para app.run(), fazendo com que qualquer string não vazia seja avaliada como verdadeira, permitindo que invasores acessem o depurador Werkzeug e potencialmente divulguem informações confidenciais ou alcancem a execução remota de código.

Recommendations Atualize para uma versão posterior a 2025.08.

Exploit

Correção

Enumeração de Fraquezas

CWE-489

Identificadores relacionados

CVE-2026-40035

Produtos afetados

Flask

Unfurl

Werkzeug

Referências · 5

• 🔥 https://github.com/obsidianforensics/unfurl/security/advisories/GHSA-vg9h-jx4v-cwx2 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-40035 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2042029745496363492 · Publicação no Twitter
• https://vulncheck.com/advisories/dfir-unfurl-werkzeug-debugger-exposure-via-string-config-parsing · Nota
• https://twitter.com/CveFindCom/status/2042101198098932077 · Publicação no Twitter