CVE-2026-68482: Apache Answer permite consultar convidados em perguntas não públicas

O aviso CVE-2026-68482, publicado no feed oss-sec em 15 de outubro de 2026, descreve uma vulnerabilidade de autorização ausente no Apache Answer. Até a versão 2.0.2, a aplicação não verifica a visibilidade de perguntas não públicas antes de devolver a lista de usuários convidados associada a elas. Assim, um usuário não autenticado ou sem autorização pode recuperar essa lista. A gravidade foi classificada pelo autor como baixa. A recomendação oficial é atualizar para a versão 2.0.3, que corrige o problema. O crédito da descoberta é atribuído a um pesquisador identificado na fonte. Para organizações que mantêm instâncias do Apache Answer, a ação prática é inventariar as versões em uso, atualizar as que estão até a 2.0.2 e revisar quais perguntas privadas poderiam ter sido expostas antes da correção. A Rota Nacional não corrige softwares de terceiros nem substitui essa atualização. Este conteúdo é apenas informativo e deve ser conferido na fonte original.