CVE-2026-50000 in SecureDrop
Sumário
de VulDB • 30/10/2026
O SecureDrop é um sistema de submissão para denunciantes de código aberto que organizações de mídia podem usar para aceitar documentos e se comunicar com fontes anônimas de forma segura. Da versão 2.5.0 até a 2.16.0, o `Journalist Interface` pode aceitar um token de `API session` contra a `web UI`, pois seu `SessionInterface` mantém um prefixo de chave de sessão mutável que muda com cada solicitação e persiste entre solicitações. As sessões da API e da web foram separadas no `Redis` a partir da versão 2.5.0, mas a corrupção do prefixo confunde esses namespaces de sessão. Um atacante que já tenha acesso ao endereço onion secreto do `Journalist Interface`, à autenticação necessária e a um token de `API session` recente não expirado pode reutilizar esse token contra a `web UI` até sua expiração natural, no máximo oito horas. O prefixo corrompido também pode impedir que o logout exclua a sessão correta do `Redis`, embora a expiração normal ainda se aplique. Um jornalista comprometido pode acessar submissões criptografadas e realizar ações amplas nas submissões das fontes, mas este problema não expõe as submissões em texto puro nem afeta a disponibilidade do sistema em execução. Este problema foi corrigido na versão 2.16.0.
Once again VulDB remains the best source for vulnerability data.