Cyber ·
CVE-2026-115748: Apache Vysper permite bypass de autorização no registro XEP-0077
Aviso de segurança sobre falha de autenticação no registro em linha XEP-0077 do Apache Vysper, classificado como importante, com CVSS 3.1 de 8.8. Publicado em 23 de outubro de 2026 por Thomas Wolf no feed oss-sec.
O Apache Vysper é uma biblioteca de servidor XMPP (Jabber). Segundo o aviso, a implementação do XEP-0077, que trata do registro em linha, não possui verificação de autenticação. Por isso, qualquer usuário autenticado pode comprometer outras contas. A gravidade foi classificada como importante, com CVSS 3.1 de 8.8 (alta). O vetor informado é de rede, com complexidade baixa, privilégio baixo e sem interação do usuário, com impacto alto em confidencialidade, integridade e disponibilidade. Segundo a fonte, todas as versões do Apache Vysper são afetadas. O texto indica que o projeto estava sem suporte quando a CVE foi atribuída. O trecho recebido está truncado e não traz detalhes de correção ou mitigação, então não os inferimos aqui. Para organizações que operam servidores XMPP com esta biblioteca, o aviso sugere inventariar as instâncias e verificar as versões em uso. Como verificar: consulte o link original indicado na fonte e o registro oficial da CVE-2026-115748 antes de tomar qualquer decisão. A Rota Nacional não corrige, não audita e não inventaria servidores de terceiros. Se a equipe usar IA para estudar este aviso, não cole senhas, chaves, logs com identificadores reais de usuários nem e-mails de clientes. A barreira de dados pessoais ajuda a proteger informações antes que um modelo execute, mas não substitui a remoção de credenciais.
Fonte original: CVE-2026-115748: Apache Vysper — bypass de autorização