PT-2026-39204 · Sysreptor · Sysreptor

Pwnpanda + 1 · Publicado 2026-05-08 · Atualizado 2026-05-09 · CVE-2026-42291

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas SysReptor versões 2026.4 até 2026.26

Descrição Uma autorização inadequada nos endpoints utilizados para ler e criar links de compartilhamento de notas pessoais permite que atacantes autenticados, ao obterem o ID da nota de uma vítima, listem e criem links de compartilhamento para essas notas. Isso resulta em acesso não autorizado de leitura e escrita às notas pessoais de outros usuários. Este problema afeta as edições Professional e Community, embora não tenha impacto prático na edição Community, pois todos os usuários possuem permissões de superusuário e já podem listar notas pessoais através do endpoint '/admin/pentests/usernotebookpage/'.

Recomendações Atualizar para a versão 2026.27.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-42291

Produtos afetados

Sysreptor

Referências · 6

• https://github.com/Syslifters/sysreptor/releases/tag/2026.27 · Nota
• https://github.com/Syslifters/sysreptor/security/advisories/GHSA-pcpr-q2qj-3v43 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42291 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2052944997750599955 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053131429182427618 · Publicação no Twitter
• https://t.me/CVEtracker/53163 · Publicação no Telegram