PT-2026-38297 · Scramble · Scramble

CVE-2026-44262 · Publicado 2026-05-06 · Atualizado 2026-06-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Scramble versões 0.13.2 até 0.13.21

Descrição Quando os endpoints de documentação estão publicamente acessíveis e as regras de validação fazem referência a entradas controladas pelo usuário, os dados fornecidos na requisição podem ser avaliados durante a geração da documentação. Isso pode levar à execução remota de código (RCE), permitindo que código PHP arbitrário seja executado no contexto da aplicação.

Recomendações Atualizar para a versão 0.13.22. Restringir o acesso aos endpoints "/docs/api" e "/docs/api.json". Evitar o uso de variáveis controladas pelo usuário dentro de expressões de regras de validação. Desativar os endpoints de documentação em ambientes de produção, caso não sejam necessários.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-44262

GHSA-4RM2-28VJ-FJ39

Produtos afetados

Scramble

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44262.json · Exploit
• 🔥 https://exploit-db.com/exploits/52582 · Exploit
• https://github.com/dedoc/scramble/security/advisories/GHSA-4rm2-28vj-fj39 · Nota
• https://github.com/dedoc/scramble/releases/tag/v0.13.22 · Nota
• https://github.com/dedoc/scramble · Nota
• https://t.me/CVEtracker/53557 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4rm2-28vj-fj39 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44262 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054324002131497399 · Publicação no Twitter
• https://twitter.com/Tank23x0/status/2065495095118569717 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-44262 · Aviso do Fabricante