PT-2026-50522 · Nesquena · Hermes-Webui

Publicado 2026-06-17 · Atualizado 2026-06-17 · CVE-2026-55197

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Hermes WebUI versões anteriores a 0.51.443

Descrição Um controle de acesso quebrado no endpoint '/api/session' permite que usuários autenticados divulguem transcrições de sessões de diferentes perfis. Ao consultar diretamente IDs de sessão pertencentes a outros perfis usando a requisição GET '/api/session?session id=&messages=1', invasores podem ignorar as verificações de limite de perfil para recuperar transcrições de conversas e metadados não autorizados através da variável session id.

Recomendações Atualize para a versão 0.51.443 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/session' para minimizar o risco de divulgação não autorizada de dados.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-55197

Produtos afetados

Hermes-Webui

Referências · 6

• 🔥 https://github.com/nesquena/hermes-webui/pull/3982 · Exploit
• https://github.com/nesquena/hermes-webui/pull/4269 · Nota
• https://github.com/nesquena/hermes-webui/commit/2a3baa71b81ca92da8ece8616a09f15894beec71 · Correção
• https://github.com/nesquena/hermes-webui/releases/tag/v0.51.443 · Nota
• https://twitter.com/CVEnew/status/2067350993143013407 · Publicação no Twitter
• https://vulncheck.com/advisories/hermes-webui-broken-access-control-in-api-session-endpoint · Nota