PT-2026-41020 · Crabbox · Crabbox

Publicado 2026-05-14 · Atualizado 2026-06-25 · CVE-2026-8621

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Crabbox versões anteriores a 0.12.0

Description Uma falha de bypass de autenticação permite que chamadores de token compartilhado não administradores se passem por outros proprietários ou organizações através da falsificação de cabeçalhos de identidade. Atacantes podem injetar cabeçalhos X-Crabbox-Owner e X-Crabbox-Org maliciosos em requisições autenticadas com um token compartilhado para ignorar verificações de autorização e acessar operações de locação com escopo de proprietário ou organização pertencentes a contas de vítimas.

Recommendations Atualize para a versão 0.12.0 ou posterior.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2026-8621

GHSA-4G9M-RFFV-H6WQ

GO-2026-5120

Produtos afetados

Crabbox

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/8xxx/CVE-2026-8621.json · Exploit
• https://github.com/openclaw/crabbox · Nota
• https://github.com/openclaw/crabbox/pull/70 · Nota
• https://github.com/openclaw/crabbox/releases/tag/v0.12.0 · Nota
• https://github.com/openclaw/crabbox/commit/b657323f1d1c954cefc8444571fa6c45a8896e7f · Correção
• https://osv.dev/vulnerability/GHSA-4g9m-rffv-h6wq · Aviso do Fabricante
• https://vulncheck.com/advisories/crabbox-authentication-bypass-via-header-spoofing · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8621 · Nota de Segurança
• https://github.com/advisories/GHSA-4g9m-rffv-h6wq · Nota
• https://osv.dev/vulnerability/CVE-2026-8621 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2026-5120 · Aviso do Fabricante