PT-2026-35443 · Projeqtor · Projeqtor

Noé Susset + 1 · Publicado 2026-04-27 · Atualizado 2026-04-27 · CVE-2026-41464

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas ProjeQtor versões 7.0 a 12.4.3

Descrição Usuários autenticados com privilégios de nível de convidado podem recuperar dados sensíveis de outros usuários, como hashes de senha e chaves de API. Isso ocorre devido à falta de autorização no endpoint 'objectDetail.php', permitindo que invasores ignorem os controles de acesso sem validação de propriedade ou baseada em função para extrair credenciais de administrador e realizar a escalada de privilégios.

Recomendações Atualize para a versão 12.4.4. Como medida paliativa temporária, restrinja o acesso ao endpoint 'objectDetail.php' para minimizar o risco de exploração.

Exploit

Correção

LPE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-41464

Produtos afetados

Projeqtor

Referências · 8

• 🔥 https://gryfman.fr/cves/CVE-2026-41464 · Exploit
• 🔥 https://damiri.fr/en/cves/CVE-2026-41464 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-41464 · Nota de Segurança
• https://vulncheck.com/advisories/projeqtor-missing-authorization-via-objectdetail-php · Nota
• https://twitter.com/CVEnew/status/2048852149539328313 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2048822196965879817 · Publicação no Twitter
• https://projeqtor.com · Nota
• https://t.me/CVEtracker/51958 · Publicação no Telegram