PT-2026-53995 · Unknown · Presentmon

George Chen · Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58446

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Presenton versões anteriores a 0.8.8-beta

Description Em implantações de servidor ou Docker que utilizam autenticação de sessão via AUTH USERNAME e AUTH PASSWORD, o servidor MCP integrado está acessível sem autenticação no endpoint '/mcp'. Isso ocorre porque o front-end nginx não aplica o gate auth request a esse caminho específico, e o servidor MCP gera automaticamente um token de sessão interno válido para o usuário configurado. Um invasor remoto não autenticado pode explorar isso para invocar ferramentas MCP, como generate presentation(), permitindo a execução de ações autenticadas, o consumo de chaves de API de LLM configuradas pelo operador e a criação de apresentações na instância.

Recommendations Atualize para a versão 0.8.8-beta ou posterior.

Exploit

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-58446

Produtos afetados

Presentmon

Referências · 9

• 🔥 https://github.com/presenton/presenton/issues/678 · Exploit
• https://github.com/presenton/presenton/pull/679 · Nota
• https://github.com/presenton/presenton/commit/a1103dcef3c761cc8bab44e2862c81a49969abd7 · Correção
• https://github.com/presenton/presenton/releases/tag/electron-v0.8.8-beta · Nota
• https://twitter.com/VulmonFeeds/status/2072101972077891718 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2072076782963159196 · Publicação no Twitter
• https://vulncheck.com/advisories/presenton-beta-authentication-bypass-of-session-auth-via-unprotected-mcp-endpoint · Nota
• https://twitter.com/infoflowcloud/status/2072078115480736171 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-58446 · Nota de Segurança