PT-2026-38405 · Shellhub · Shellhub

Edu0X01 · Publicado 2026-05-07 · Atualizado 2026-05-14 · CVE-2026-44426

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas ShellHub versões anteriores a 0.24.2

Descrição Existe um problema onde o endpoint "/api/namespaces/:tenant" retorna o objeto de namespace completo para qualquer chamador autenticado via API Key, independentemente do escopo de tenant da API Key. Este objeto inclui informações sensíveis, como a lista de membros (IDs de usuário, e-mails e funções), configurações e contagem de dispositivos. O problema ocorre porque o manipulador ignora a verificação de associação quando a variável de ID de usuário X-ID está ausente, que é o comportamento padrão para a autenticação por API Key. Isso permite a enumeração de qualquer namespace por UUID de tenant e a divulgação de detalhes dos membros e configurações do namespace.

Recomendações Atualize para a versão 0.24.2.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-44426

GHSA-VWX9-7QCF-GG7F

Produtos afetados

Shellhub

Referências · 7

• 🔥 https://github.com/shellhub-io/shellhub/security/advisories/GHSA-vwx9-7qcf-gg7f · Exploit
• https://github.com/shellhub-io/shellhub · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44426 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054709202292261109 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2054806550431088869 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vwx9-7qcf-gg7f · Aviso do Fabricante
• https://t.me/CVEtracker/53715 · Publicação no Telegram