Vulnerabilidade de controle de acesso inadequado em Fullstep

O impacto primário desta vulnerabilidade é a potencial exposição de dados confidenciais. Um atacante não autenticado, ao explorar a falha, pode obter um token JWT válido, permitindo acesso a recursos protegidos por autenticação. Isso pode resultar no acesso não autorizado a informações sensíveis, modificação de dados ou até mesmo a execução de ações em nome de usuários legítimos. A gravidade do impacto depende da sensibilidade dos dados acessíveis através das APIs e do nível de privilégios associados ao token JWT obtido. A ausência de controles de acesso adequados abre uma brecha significativa na segurança da aplicação, permitindo a contornação da autenticação e a escalada de privilégios.

Organizations utilizing Fullstep V5 in production environments, particularly those relying on its API for critical business functions, are at risk. Systems with weak API authentication policies or those lacking robust monitoring for suspicious JWT activity are especially vulnerable. Shared hosting environments where multiple users share the same Fullstep instance could also be affected.

1. 2026-04-22Disclosure

   disclosure

1. Reservado2026-04-07
2. Publicada2026-04-22
3. EPSS atualizado2026-04-30

A mitigação imediata para CVE-2026-5749 envolve a implementação de controles de acesso rigorosos no processo de registro do Fullstep V5. Isso inclui a validação estrita da identidade do usuário antes da emissão de um token JWT, bem como a limitação do escopo e dos privilégios associados a esses tokens. Como não há versão corrigida disponível, a implementação de regras de firewall (WAF) ou proxies reverso para bloquear requisições suspeitas e validar a autenticidade dos tokens JWT é crucial. Além disso, a revisão e o fortalecimento do código fonte para identificar e corrigir outras possíveis falhas de controle de acesso são recomendados. Após a implementação das medidas de mitigação, realize testes de penetração para verificar a eficácia das medidas e garantir que a vulnerabilidade foi devidamente corrigida.