PT-2026-33400 · Hashicorp · Vault Community Edition+1

Oleh Konko + 1 · Publicado 2026-04-17 · Atualizado 2026-04-21 · CVE-2026-5052

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions HashiCorp Vault Community Edition versões anteriores a 2.0.0 HashiCorp Vault Enterprise versões anteriores a 1.19.16 HashiCorp Vault Enterprise versões 1.19.16 até 1.20.9 HashiCorp Vault Enterprise versões 1.20.10 até 1.21.4 HashiCorp Vault Enterprise versões anteriores a 1.21.5 HashiCorp Vault Enterprise versões anteriores a 2.0.0

Description A validação ACME do mecanismo PKI não rejeita alvos locais durante a emissão de desafios 'http-01' e 'tls-alpn-01'. Esta falha pode fazer com que as solicitações sejam enviadas para alvos na rede local, podendo levar à divulgação de informações.

Recommendations Atualize o HashiCorp Vault Community Edition para a versão 2.0.0. Atualize o HashiCorp Vault Enterprise para a versão 1.19.16, 1.20.10, 1.21.5 ou 2.0.0.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BIT-VAULT-2026-5052

CVE-2026-5052

GHSA-8R5M-3F66-QPR3

Produtos afetados

Vault Community Edition

Vault Enterprise

Referências · 7

• https://github.com/hashicorp/vault · Nota
• https://twitter.com/VulmonFeeds/status/2045004566639280471 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8r5m-3f66-qpr3 · Aviso do Fabricante
• https://discuss.hashicorp.com/t/hcsec-2026-06-vault-vulnerable-to-server-side-request-forgery-in-acme-challenge-validation-via-attacker-controlled-dns/77343 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045102618859524290 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-vault-2026-5052 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-5052 · Nota de Segurança