PT-2026-33788 · Openaev · Openaev

Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-24468

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions OpenAEV versões 1.11.0 até 2.0.12

Description OpenAEV é uma plataforma de código aberto para planejar, agendar e conduzir campanhas e testes de simulação de adversários cibernéticos. O endpoint '/api/reset' exibe comportamentos inconsistentes dependendo se o nome de usuário fornecido existe no sistema. Quando um e-mail inexistente é enviado através do parâmetro login, o servidor retorna uma resposta HTTP 400, enquanto um e-mail válido gera uma resposta HTTP 200. Essa discrepância permite que um invasor não autenticado realize a enumeração de contas, automatizando requisições para identificar endereços de e-mail registrados.

Recommendations Atualizar para a versão 2.0.13.

Correção

Enumeração de Fraquezas

CWE-204

Identificadores relacionados

CVE-2026-24468

Produtos afetados

Openaev

Referências · 8

• https://github.com/OpenAEV-Platform/openaev/commit/3430fe23a9244030d06fdf8e6771592e1f12ad52 · Nota
• https://github.com/OpenAEV-Platform/openaev/blob/82fa7d0009017110c9b509d0dc1b3a78164259dd/openaev-api/src/main/java/io/openaev/rest/user/UserApi.java#L120 · Nota
• https://github.com/OpenAEV-Platform/openaev/releases/tag/2.0.13 · Nota
• https://github.com/OpenAEV-Platform/openaev/security/advisories/GHSA-v6rg-hf9w-f8ph · Nota
• https://twitter.com/infoflowcloud/status/2046573127048532123 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2046571936965394841 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046308118900961555 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-24468 · Nota de Segurança