PT-2026-35199 · Datavines · Datavines

Anch0R · Publicado 2026-04-26 · Atualizado 2026-04-26 · CVE-2026-7018

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.6

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Datavane Datavines versões anteriores a e540d6dc04e2e6ad11907fb655f3728a13e7b939

Descrição Um problema existe no componente JWT Token Handler dentro do arquivo datavines-core/src/main/java/io/datavines/core/utils/TokenManager.java. A manipulação do argumento tokenSecret pode levar ao uso de uma chave criptográfica codificada rigidamente (hard-coded). Esta falha permite a execução remota, embora exija um alto nível de complexidade e seja difícil de explorar.

Recomendações Aplicar o patch e540d6dc04e2e6ad11907fb655f3728a13e7b939.

Exploit

Correção

Enumeração de Fraquezas

CWE-320

CWE-321

Identificadores relacionados

CVE-2026-7018

Produtos afetados

Datavines

Referências · 12

• 🔥 https://github.com/datavane/datavines/issues/580#issue-4206839649 · Exploit
• https://github.com/datavane/datavines/pull/579 · Correção
• https://github.com/datavane/datavines/issues/580 · Nota
• https://github.com/datavane/datavines/pull/579/changes/e540d6dc04e2e6ad11907fb655f3728a13e7b939 · Correção
• https://github.com/datavane/datavines · Nota
• https://vuldb.com/vuln/359597/cti · Nota
• https://twitter.com/CVEarity/status/2048322599919423551 · Publicação no Twitter
• https://vuldb.com/submit/797305 · Nota
• https://vuldb.com/vuln/359597 · Nota
• https://twitter.com/CVEnew/status/2048481056806818266 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2048261442130846164 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-7018 · Nota de Segurança