PT-2026-47340 · Unknown · Openbullet2

Maksim Rogov + 1 · Publicado 2026-06-08 · Atualizado 2026-06-17 · CVE-2026-25555

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenBullet2 versões anteriores a 0.3.3

Description Existe uma falha de bypass de autenticação no middleware de autenticação de chave de API. Atacantes não autenticados podem obter acesso administrativo ao console de administração e a todos os endpoints de API ao fornecer um valor vazio no cabeçalho X-Api-Key. Isso ocorre porque o middleware compara o cabeçalho fornecido com uma string padrão AdminApiKey vazia.

Recommendations Atualize para uma versão posterior a 0.3.2.

Exploit

Correção

Enumeração de Fraquezas

CWE-305

Identificadores relacionados

CVE-2026-25555

Produtos afetados

Openbullet2

Referências · 6

• 🔥 https://hackernoon.com/one-empty-header-to-admin-how-an-auth-bypass-breaks-openbullet2 · Exploit
• https://twitter.com/pdnuclei_bot/status/2067170426305061216 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2064044823447801965 · Publicação no Twitter
• https://twitter.com/SecAlertsCo/status/2065760351375749527 · Publicação no Twitter
• https://vulncheck.com/advisories/openbullet2-authentication-bypass-via-x-api-key-header · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-25555 · Nota de Segurança