PT-2026-50521 · Hermes Webui · Hermes-Webui

Publicado 2026-06-17 · Atualizado 2026-06-17 · CVE-2026-55196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Hermes WebUI versões anteriores a 0.51.409

Descrição Existe uma falha de bypass de autenticação nos endpoints de registro de passkey. Quando HERMES WEBUI PASSKEY=1 está habilitado e não existem credenciais, atacantes remotos não autenticados podem registrar passkeys arbitrárias. Isso ocorre porque os endpoints 'POST /api/auth/passkey/register/options' e 'POST /api/auth/passkey/register' estão acessíveis sem autenticação, permitindo que um atacante reivindique a primeira passkey e obtenha controle administrativo permanente.

Recomendações Atualize para a versão 0.51.409 ou posterior.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-55196

Produtos afetados

Hermes-Webui

Referências · 6

• https://github.com/nesquena/hermes-webui/pull/4171 · Nota
• https://github.com/nesquena/hermes-webui/releases/tag/v0.51.442 · Nota
• https://github.com/nesquena/hermes-webui/pull/4267 · Nota
• https://github.com/nesquena/hermes-webui/commit/4d90577e25d5537cb07290eca3fb8abff3bab316 · Correção
• https://twitter.com/CVEnew/status/2067350994501922921 · Publicação no Twitter
• https://vulncheck.com/advisories/hermes-webui-unauthenticated-passkey-registration-via-authentication-bypass · Nota