CVE-2026-40316: RCE no OWASP BLT em Versões Anteriores a 2.1.1

A exploração bem-sucedida desta vulnerabilidade permite que um atacante obtenha controle total sobre o sistema onde o OWASP BLT está sendo executado. O atacante pode injetar código malicioso através de pull requests, que será executado durante o processo de geração de migrações. Isso pode levar à exfiltração de dados confidenciais, instalação de malware, ou até mesmo ao comprometimento completo do ambiente. Dada a natureza da plataforma BLT, que frequentemente lida com informações sensíveis de projetos web e aplicativos, o impacto pode ser significativo, especialmente em ambientes de desenvolvimento e testes.

Organizations using OWASP BLT for QA testing and vulnerability disclosure, particularly those relying on automated pull request workflows, are at risk. Shared hosting environments where multiple users have access to the repository are especially vulnerable, as a compromised user account could be used to submit malicious pull requests.

• python / server:

find /path/to/owasp-blt -name '.github/workflows/regenerate-migrations.yml' -print0 | xargs -0 grep -i 'git show' 

• generic web:

curl -I https://your-blt-instance.com/.github/workflows/regenerate-migrations.yml | grep 'Content-Type: application/json' # Check if the workflow file is accessible

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-04-10
2. Publicada2026-04-15
3. Modificada2026-04-16
4. EPSS atualizado2026-04-23

A mitigação primária é atualizar o OWASP BLT para a versão 2.1.1 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere desabilitar temporariamente o workflow vulnerável .github/workflows/regenerate-migrations.yml. Implementar revisões de código rigorosas para pull requests, especialmente aquelas que modificam arquivos de configuração do workflow, pode ajudar a detectar e prevenir a introdução de código malicioso. Além disso, restringir as permissões do GITHUB_TOKEN a apenas o necessário pode limitar o impacto de uma possível exploração. Após a atualização, confirme a correção verificando os logs do workflow e garantindo que as migrações sejam geradas sem erros.