PT-2026-61621 · Unknown · Rconfig Core

Manasse + 1 · CVE-2026-63102 · Publicado 2026-07-20 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas rConfig Core versões anteriores a 8.2.8

Description Usuários autenticados podem escalar privilégios ao atribuir funções arbitrárias a qualquer conta. Isso ocorre quando um campo de função não validado é enviado através da API de Usuários durante a criação de usuário ou atualizações de perfil. O problema decorre da falta de validação de lista de permissões (allowlist) e da ausência de verificações de autorização de nível de administrador na função StoreUserRequest, permitindo que a função de Administrador seja atribuída em massa diretamente ao modelo de Usuário.

Recommendations Atualize o rConfig Core para a versão 8.2.8 ou posterior. Como medida de mitigação temporária, restrinja o acesso à API de Usuários para evitar atualizações de perfil ou criação de usuários não autorizadas.

Correção

LPE

Enumeração de Fraquezas

CWE-915

Identificadores relacionados

CVE-2026-63102

Produtos afetados

Rconfig Core

Referências · 6

• https://github.com/rconfig/rconfig/releases/tag/core-8.2.8 · Nota
• https://github.com/rconfig/rconfig/commit/84822f4051ed97d651b1b4d191c6da2aa8c3c037 · Correção
• https://github.com/rconfig/rconfig/pull/325 · Nota
• https://twitter.com/CVEnew/status/2079238915345572206 · Publicação no Twitter
• https://vulncheck.com/advisories/rconfig-privilege-escalation-via-users-api-role-field · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-63102 · Nota de Segurança