CVE-2026-71563: Apache Answer expõe respostas de perguntas não públicas pela ferramenta MCP
Falha de autorização no Apache Answer até a versão 2.0.2 permite que titulares de uma chave de API global leiam respostas de perguntas ocultas, excluídas ou pendentes de revisão pela ferramenta MCP de recuperação de respostas. Gravidade moderada. Correção na versão 2.0.3.
O aviso foi publicado por Enxin Xie em 15 de outubro de 2026 na lista de discussão oss-sec e identifica a CVE-2026-71563. Segundo a descrição, o Apache Answer, em todas as versões até a 2.0.2, tem uma falha de autorização ausente na ferramenta MCP de recuperação de respostas. Com ela, titulares de uma chave de API global conseguem acessar o conteúdo de respostas associado a perguntas ocultas, excluídas ou pendentes de revisão. A gravidade classificada é moderada. O fabricante recomenda atualizar para a versão 2.0.3, que corrige o problema.
O texto original é uma tradução automática do feed, então vale conferir os termos técnicos na publicação em inglês na lista oss-sec antes de tomar decisões. Para verificar se sua instância é afetada, identifique a versão instalada do Apache Answer e confirme se a ferramenta MCP de recuperação de respostas está habilitada e acessível pelas chaves de API em uso.
O caso tem relevância para privacidade porque perguntas ocultas ou excluídas costumam conter informações sensíveis que o autor não quis tornar públicas. Esta falha é de um software de terceiros e não é corrigida pela Rota Nacional. A plataforma não hospeda nem altera o Apache Answer, e a correção depende de atualizar esse software.