PT-2026-33790 · Vexa · Vexa

Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-25883

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions Vexa versões anteriores a 0.10.0-260419-1910

Description O recurso de webhook permite que usuários autenticados configurem uma URL arbitrária para receber solicitações HTTP POST ao término de reuniões. Como a aplicação não valida a URL do webhook, isso possibilita o Server-Side Request Forgery (SSRF), uma falha onde o servidor é enganado para fazer solicitações a locais não pretendidos. Um invasor autenticado pode ter como alvo serviços internos, como Redis, bancos de dados e painéis de administração, bem como serviços de localhost e endpoints de metadados de nuvem da AWS ou GCP para roubo de credenciais.

Recommendations Atualizar para a versão 0.10.0-260419-1910.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-25883

Produtos afetados

Vexa

Referências · 5

• https://github.com/Vexa-ai/vexa/security/advisories/GHSA-fhr6-8hff-cvg4 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2046302999270527151 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2046571933308002692 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2046573076490354700 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25883 · Nota de Segurança