PT-2026-34172 · Kovah · Linkace

Publicado 2026-04-21 · Atualizado 2026-04-27 · CVE-2026-40905

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas LinkAce versões anteriores a 2.5.4

Descrição Existe um problema em que a aplicação confia inadequadamente em cabeçalhos HTTP controlados pelo usuário. Especificamente, a aplicação utiliza o cabeçalho X-Forwarded-Host ao gerar URLs de redefinição de senha. Um invasor pode manipular esse cabeçalho durante uma solicitação de redefinição de senha para injetar um domínio malicioso no link de redefinição enviado por e-mail. Se a vítima clicar nesse link, o token de redefinição de senha é transmitido para o servidor controlado pelo invasor, permitindo que este capture o token e redefina a senha da vítima, resultando no controle total da conta.

Recomendações Atualizar para a versão 2.5.4.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-40905

Produtos afetados

Linkace

Referências · 3

• https://github.com/Kovah/LinkAce/security/advisories/GHSA-48wv-jpf4-vjfv · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40905 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048910149369356363 · Publicação no Twitter