PT-2026-33846 · Roxy-Wi · Roxy-Wi

Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-33432

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Roxy-WI versões anteriores a 8.2.8.3

Description Quando a autenticação LDAP está habilitada, a aplicação constrói um filtro de pesquisa LDAP concatenando diretamente o username fornecido pelo usuário na string do filtro sem escapar caracteres especiais. Isso permite que um invasor não autenticado injete metacaracteres de filtro LDAP no campo username para manipular a consulta de pesquisa e fazer com que o diretório retorne uma entrada de usuário não pretendida, resultando em um bypass completo de autenticação.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2026-33432

Produtos afetados

Roxy-Wi

Referências · 4

• 🔥 https://github.com/roxy-wi/roxy-wi/security/advisories/GHSA-hv3x-4w38-r92m · Exploit
• https://github.com/roxy-wi/roxy-wi/blob/v8.2.8.2/app/modules/roxywi/auth.py · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33432 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046571898130300953 · Publicação no Twitter