PT-2026-44420 · Casdoor · Casdoor

David Lie + 4 · Publicado 2026-05-28 · Atualizado 2026-05-28 · CVE-2026-9091

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Casdoor versões anteriores a 2.362.1

Description Existe uma falha de lógica no fluxo de vinculação de login social. O caminho de código de regra de vinculação em 'controllers/auth.go' chama a função HandleLoggedIn() diretamente sem invocar checkMfaEnable(), permitindo que usuários ignorem os requisitos de Autenticação de Múltiplos Fatores (MFA) configurados. Consequentemente, qualquer usuário que se autentique por este caminho é logado sem a imposição de MFA.

Recommendations Atualize para uma versão posterior a 2.362.0. Como medida paliativa temporária, restrinja o acesso ao fluxo de vinculação de login social até que a atualização seja aplicada.

Correção

Identificadores relacionados

CVE-2026-9091

Produtos afetados

Casdoor

Referências · 3

• https://t.me/cveNotify/165061 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-9091 · Nota de Segurança
• https://kb.cert.org/vuls/id/780781 · Nota