PT-2026-46296 · Osnexus · Quantastor

Jack Pas · Publicado 2026-06-04 · Atualizado 2026-06-05 · CVE-2026-10880

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OSNexus QuantaStor versões anteriores a 6.6.2

Descrição Um invasor remoto não autenticado pode realizar uma injeção de SQL cega (blind SQL injection) através do endpoint de login. O campo username não é devidamente sanitizado antes de ser incorporado em uma consulta SQL, o que permite que o invasor ignore a autenticação e faça login como administrador sem fornecer uma senha válida. Além disso, invasores podem recuperar hashes de senhas armazenadas, um caractere por vez, analisando diferentes respostas de erro de login.

Recomendações Atualize para a versão 6.6.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint de login a endereços IP confiáveis para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-10880

Produtos afetados

Quantastor

Referências · 6

• https://twitter.com/DFIR_Lab/status/2062705268027199693 · Publicação no Twitter
• https://t.me/CVEtracker/55868 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-10880 · Nota de Segurança
• https://twitter.com/BlackLanternLLC/status/2062588919200522665 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2062725093273239899 · Publicação no Twitter
• https://blog.blacklanternsecurity.com/p/cve-2026-10880-osnexus-quantastor · Nota