CVE-2026-111057
Mercury: execução remota de código não autenticada em /api/terminals - contorno de controle de acesso
Traduzido automaticamente do inglês.
Uma vírgula faltante na lista BLOCKED_PATTERNS do arquivo mercury_app/block_handler.py faz com que a lista de bloqueios falhe ao cobrir o endpoint /api/terminals. Como resultado, qualquer atacante não autenticado pode iniciar um shell interativo completo no nível do sistema operacional no host que executa o Mercury.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- EPSS
- 0,44% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- mercury (pip) >= 3.0.0, <= 3.2.3, corrigido em 3.2.4 · GHSA-f8c7-rwf9-fmgm