CVE-2026-42156: Cypher Injection em Flowsint
Plataforma
javascript
Componente
flowsint
Corrigido em
1.2.3
Flowsint é uma ferramenta OSINT de código aberto para investigação de segurança. Antes da versão 1.2.3, uma vulnerabilidade permitia que atacantes remotos criassem nós maliciosos, escapando queries Cypher existentes e executando comandos arbitrários. Essa falha afeta as versões 1.0.0 até 1.2.2 e foi corrigida na versão 1.2.3.
Impacto e Cenários de Ataque
Um atacante explorando essa vulnerabilidade pode injetar queries Cypher maliciosas, potencialmente obtendo acesso não autorizado a dados armazenados no grafo Flowsint. Isso pode incluir informações sensíveis coletadas durante investigações de OSINT. A capacidade de executar queries arbitrárias permite a manipulação de dados, a criação de novos nós e arestas, e até mesmo a alteração da estrutura do grafo, comprometendo a integridade das informações. O impacto pode se estender a outras ferramentas e sistemas que dependem dos dados gerados pelo Flowsint.
Contexto de Exploração
A vulnerabilidade foi publicada em 2026-05-12. A probabilidade de exploração é considerada média, dada a complexidade da exploração e a necessidade de acesso ao sistema Flowsint. Não há relatos públicos de exploração ativa no momento da publicação. Consulte o NVD e a CISA para atualizações.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
Mitigação e Soluções Alternativas
A mitigação primária é atualizar o Flowsint para a versão 1.2.3, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere restringir o acesso à criação de nós e arestas no Flowsint. Implemente controles de validação de entrada rigorosos para evitar a criação de nós com tipos maliciosos. Monitore logs do Flowsint em busca de atividades suspeitas, como a execução de queries Cypher inesperadas. Após a atualização, confirme a correção verificando se a criação de nós com tipos arbitrários é bloqueada.
Como corrigirtraduzindo…
Actualice Flowsint a la versión 1.2.3 o posterior para mitigar la vulnerabilidad de inyección de consultas Cypher. Esta actualización corrige el problema al validar correctamente los tipos de nodos durante la creación, evitando la ejecución de consultas Cypher maliciosas.
Perguntas frequentes
O que é CVE-2026-42156 em Flowsint?
É uma vulnerabilidade de injeção Cypher no Flowsint, permitindo a execução de comandos arbitrários.
Estou afetado pelo CVE-2026-42156 no Flowsint?
Se você estiver usando Flowsint nas versões 1.0.0 até 1.2.2, você está afetado.
Como corrijo o CVE-2026-42156 no Flowsint?
Atualize o Flowsint para a versão 1.2.3.
O CVE-2026-42156 está sendo explorado ativamente?
Não há relatos públicos de exploração ativa no momento.
Onde encontro o aviso oficial do Flowsint para o CVE-2026-42156?
Consulte o NVD (National Vulnerability Database) e a CISA (Cybersecurity and Infrastructure Security Agency).
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...