PT-2026-33880 · Neko · Neko
CVE-2026-39386
·
Publicado
2026-04-21
·
Atualizado
2026-07-30
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Neko versões 3.0.0 até 3.0.10
Neko versões 3.1.0 até 3.1.1
Description
Um problema permite que qualquer usuário autenticado obtenha controle administrativo total da instância Neko, incluindo gerenciamento de membros, configurações de sala, controle de transmissão e encerramento de sessão. Isso leva a um comprometimento completo da instância. A falha está associada ao endpoint '/api/profile'.
Recommendations
Atualizar as versões 3.0.0 até 3.0.10 para 3.0.11.
Atualizar as versões 3.1.0 até 3.1.1 para 3.1.2.
Restringir o acesso apenas a usuários confiáveis.
Garantir que todas as senhas de usuário sejam fortes.
Executar a instância apenas quando necessário e evitar a exposição contínua.
Colocar a instância atrás de camadas de autenticação, como um proxy reverso com controles de acesso adicionais.
Desativar ou restringir o acesso ao endpoint '/api/profile'.
Monitorar alterações de privilégios suspeitas ou ações administrativas inesperadas.
Exploit
Correção
LPE
Improper Privilege Management
RCE
IDOR
Missing Authorization
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Neko