PT-2026-33548 · Movary · Movary

Kitu232 · Publicado 2026-04-18 · Atualizado 2026-04-18 · CVE-2026-40350

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Movary versões anteriores a 0.71.1

Description Um usuário autenticado pode acessar endpoints de gerenciamento de usuários, especificamente '/settings/users', para enumerar todos os usuários e criar uma nova conta de administrador. Isso ocorre porque as definições de rota carecem de middleware exclusivo para administradores e a verificação de autorização no nível do controlador utiliza uma condição booleana incorreta, permitindo que qualquer usuário com um cookie de sessão web válido acesse funcionalidades administrativas restritas.

Recommendations Atualizar para a versão 0.71.1.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-40350

Produtos afetados

Movary

Referências · 7

• https://github.com/leepeuker/movary/releases/tag/0.71.1 · Nota
• https://github.com/leepeuker/movary/security/advisories/GHSA-7r3f-9fwv-p43w · Aviso do Fabricante
• https://github.com/leepeuker/movary/pull/749 · Correção
• https://github.com/leepeuker/movary/commit/92c7400486f5fe9f350046e04e45a8502778bf39 · Correção
• https://twitter.com/VulmonFeeds/status/2045316924087709737 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045467340410658855 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40350 · Nota de Segurança