PT-2026-33880 · Neko · Neko
Publicado
2026-04-21
·
Atualizado
2026-06-01
·
CVE-2026-39386
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Neko versões 3.0.0 até 3.0.10
Neko versões 3.1.0 até 3.1.1
Description
Um problema permite que qualquer usuário autenticado obtenha controle administrativo total da instância Neko, incluindo gerenciamento de membros, configurações de sala, controle de transmissão e encerramento de sessão. Isso leva a um comprometimento completo da instância. A falha está associada ao endpoint '/api/profile'.
Recommendations
Atualizar as versões 3.0.0 até 3.0.10 para 3.0.11.
Atualizar as versões 3.1.0 até 3.1.1 para 3.1.2.
Restringir o acesso apenas a usuários confiáveis.
Garantir que todas as senhas de usuário sejam fortes.
Executar a instância apenas quando necessário e evitar a exposição contínua.
Colocar a instância atrás de camadas de autenticação, como um proxy reverso com controles de acesso adicionais.
Desativar ou restringir o acesso ao endpoint '/api/profile'.
Monitorar alterações de privilégios suspeitas ou ações administrativas inesperadas.
Correção
LPE
Improper Access Control
Improper Privilege Management
IDOR
RCE
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Neko