PT-2026-41030 · Crabbox · Crabbox

Publicado 2026-05-14 · Atualizado 2026-05-14 · CVE-2026-8629

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Crabbox versões anteriores a 0.12.0

Descrição Verificações de controle de acesso insuficientes permitem que usuários com acesso compartilhado apenas de visibilidade escalem privilégios. Ao enviar solicitações POST para os endpoints "/v1/leases/:id/code/ticket", "/v1/leases/:id/webvnc/ticket" e "/v1/leases/:id/egress/ticket", invasores podem obter tickets de agente de Código, WebVNC e Egress. Isso permite a personificação de bridges do lado do lease confiáveis, apesar de o usuário possuir apenas permissões de visibilidade.

Recomendações Atualize para a versão 0.12.0 ou posterior.

Exploit

Correção

LPE

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-8629

Produtos afetados

Crabbox

Referências · 6

• 🔥 https://github.com/openclaw/crabbox/pull/71 · Exploit
• https://github.com/openclaw/crabbox/releases/tag/v0.12.0 · Nota
• https://github.com/openclaw/crabbox/commit/95cb30dc7dbaa1fef690a42ef6ac1cb6e307a191 · Correção
• https://t.me/CVEtracker/53829 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-8629 · Nota de Segurança
• https://vulncheck.com/advisories/crabbox-privilege-escalation-via-agent-ticket-endpoints · Nota