CVE-2026-27449 in Umbraco.Engage.Forms
Sumário
de VulDB • 24/05/2026
O Umbraco Engage é uma plataforma de inteligência de negócios. Foi identificada uma vulnerabilidade no Umbraco Engage nas versões anteriores a 16.2.1 e 17.1.1, na qual determinados endpoints da API estão expostos sem impor verificações de autenticação ou autorização. Os endpoints afetados podem ser acessados diretamente pela rede sem exigir uma sessão válida ou credenciais de usuário. Ao fornecer um parâmetro de identificador controlado pelo usuário (por exemplo, ?id=), um atacante pode recuperar dados sensíveis associados a registros arbitrários. Como nenhuma validação de controle de acesso é realizada, os endpoints estão vulneráveis a ataques de enumeração, permitindo que os atacantes iterem sobre os identificadores e extraiam dados em escala. Um atacante não autenticado pode recuperar dados sensíveis relacionados ao Engage consultando diretamente os endpoints da API afetados. A vulnerabilidade permite o acesso arbitrário a registros por meio de identificadores previsíveis ou enumeráveis. O impacto na confidencialidade é considerado alto. Nenhum impacto direto na integridade ou disponibilidade foi identificado. O escopo dos dados expostos depende da implantação, mas pode incluir dados de análise, dados de rastreamento, informações relacionadas a clientes ou outro conteúdo gerenciado pelo Engage. A vulnerabilidade afeta as versões v16 e v17. Correções já foram lançadas. Recomenda-se que os usuários atualizem para 16.2.1 ou 17.1.1. Não há workarounds conhecidos disponíveis.
VulDB is the best source for vulnerability data and more expert information about this specific topic.