PT-2026-41130 · Hedera · Hedera Guardian

Christ Bouchuen · Publicado 2026-05-14 · Atualizado 2026-05-27 · CVE-2026-45248

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Hedera Guardian versões anteriores a 3.5.2

Descrição Existe uma falha de bypass de autenticação no endpoint 'GET /api/v1/demo/registered-users'. Isso permite que atacantes não autenticados recuperem informações sensíveis de usuários, incluindo nomes de usuário, DIDs do Hedera, DIDs de registro pai, funções do sistema e atribuições de funções de política para todos os usuários registrados no sistema.

Recomendações Atualize para uma versão posterior à 3.5.1. Como medida paliativa temporária, restrinja o acesso ao endpoint 'GET /api/v1/demo/registered-users' para minimizar o risco de exploração.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-45248

Produtos afetados

Hedera Guardian

Referências · 6

• https://github.com/hashgraph/guardian/pull/6076 · Correção
• https://twitter.com/CVEnew/status/2055074211429781930 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45248 · Nota de Segurança
• https://t.me/CVEtracker/53850 · Publicação no Telegram
• https://vulncheck.com/advisories/hedera-guardian-authentication-bypass-information-disclosure · Nota
• https://t.me/cveNotify/164926 · Publicação no Telegram