PT-2026-39187 · Scoold · Scoold

Kitu232 · Publicado 2026-05-08 · Atualizado 2026-05-09 · CVE-2026-42176

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Scoold versões anteriores a 1.67.0

Descrição O Scoold permite a modificação do valor de configuração de administradores através do endpoint "/api/config/set/admins" utilizando um token Bearer forjado que é aceito como um token de API de administrador. Esta ação grava um endereço de e-mail alvo no arquivo de configuração da aplicação. Embora a alteração não seja imediata, pois o conjunto ADMINS é carregado na inicialização, um reinício da aplicação faz com que o usuário selecionado seja reconhecido como administrador com acesso ao painel de administração, proporcionando um caminho de persistência confiável.

Recomendações Atualizar para a versão 1.67.0.

Exploit

Correção

LPE

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-42176

Produtos afetados

Scoold

Referências · 6

• 🔥 https://github.com/Erudika/scoold/security/advisories/GHSA-7qfx-c234-xg4g · Exploit
• https://github.com/Erudika/scoold/releases/tag/1.67.0 · Nota
• https://twitter.com/CVEnew/status/2053131451030470967 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052870765754650665 · Publicação no Twitter
• https://t.me/CVEtracker/53154 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42176 · Nota de Segurança