PT-2026-43378 · Code100X · Code100X

Shravan Manne + 1 · Publicado 2026-05-26 · Atualizado 2026-05-26 · CVE-2026-8890

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas code100x (versões afetadas não especificadas)

Descrição Existe uma falha de bypass de autenticação na API Móvel. Atacantes não autenticados podem personificar usuários arbitrários ao fornecer um payload JSON manipulado no cabeçalho HTTP 'g'. Isso ocorre porque o middleware em middleware.ts ignora a geração do cabeçalho de identidade quando um cabeçalho Auth-Key está presente sem validar seu valor. Consequentemente, atacantes podem injetar um cabeçalho de identidade de usuário falsificado que o manipulador de rota downstream no endpoint de cursos móveis aceita como confiável, concedendo acesso não autorizado a dados de cursos de administradores ou usuários matriculados.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-8890

Produtos afetados

Code100X

Referências · 7

• 🔥 https://github.com/code100x/cms/pull/1927 · Exploit
• 🔥 https://github.com/code100x/cms/issues/1924 · Exploit
• https://github.com/code100x/cms/pull/1927/changes/90b489ee7c63c301107d6374d4b3f2b8e4060fe5 · Nota
• https://github.com/code100x/cms/pull/1927/changes/88c6c5e94e23da101235c4c7e9c7591ac1016549 · Nota
• https://vulncheck.com/advisories/code100x-mobile-api-authentication-bypass-via-header-spoofing · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8890 · Nota de Segurança
• https://t.me/CVEtracker/55013 · Publicação no Telegram