Cyber ·
CVE-2026-118196: rebinding OAuth 1 no Apache Allura, corrigido na versão 1.22.1
Aviso de segurança sobre uma vulnerabilidade de rebinding OAuth 1 no Apache Allura até a versão 1.22.0, com gravidade crítica informada e correção na versão 1.22.1.
O aviso CVE-2026-118196 descreve uma vulnerabilidade de rebinding OAuth 1 no Apache Allura. Segundo o texto recebido do feed oss-sec, publicado por Dave Brondsema em 6 de novembro, são afetadas as versões do Apache Allura até a 1.22.0. A gravidade informada é crítica. O aviso recomenda atualizar para a versão 1.22.1, que corrige o problema. O crédito da descoberta é atribuído a um relator identificado apenas por handle, que omitimos aqui.
A fonte não detalha o mecanismo técnico nem indica exploração conhecida, e não inventamos esses dados. Para quem administra uma instalação, o passo verificável é confirmar a versão em uso, aplicar a 1.22.1 ou posterior e consultar o registro oficial do CVE e o site do projeto para conferir a lista de versões afetadas.
Relevância para a Rota Nacional: a Rota Nacional não corrige softwares de terceiros nem resolve esse problema de engenharia. Se a equipe usar IA para estudar o aviso ou gerar scripts de atualização, não cole no prompt credenciais, tokens, chaves de API, configurações de produção ou dados pessoais. A detecção automática da plataforma cobre tipos de dado pessoal como CPF, CNPJ, e-mail, telefone e nomes, mas não substitui a remoção manual de segredos. Remova-os antes do envio.
Fonte original: CVE-2026-118196: vulnerabilidade de rebinding OAuth 1 no Apache Allura