CVE-2026-97406
API do Console Xerj
Traduzido automaticamente do inglês.
- Xerj Console API
- Crítica
- CVSS 9.1
- EPSS 0,22%
- Nenhuma versão corrigida informada
Resumo
Os tokens bearer da API do Console XERJ podem contornar o requisito de autenticação apenas com passkey e invocar diretamente o endpoint de criação de tokens da API, permitindo a criação não autorizada de credenciais sucessoras persistentes.
Do registro CVE.
Ler a descrição original
Registro CVE
XERJ Console API bearer tokens can bypass the passkey‑only authentication requirement and directly invoke the API‑token creation endpoint, allowing unauthorized minting of persistent successor credentials.
O que fazer
Nenhuma versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Xerj Console API | v1.0.0-rc.11 | Nenhuma informada |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v3.1, pontuado por CISA-ADP)
- EPSS
- 0,22% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 29 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: sim. Impacto técnico: total. Em 29 de out. de 2026.
- Fraqueza
- CWE-306: Missing Authentication for Critical Function; CWE-863: Incorrect Authorization
- Fabricante
- Xerj, Console API
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.