CVE-2026-56782
Gorse - Unauthenticated Database Dump and Restore via /api/dump and /api/restore Endpoints
Vexday Risk Score
48Atenção
Decisão SSVC (CISA)
Attend
PoC disponível → acompanhar de perto
CVSS 9.3EPSS 0.9%KEV nãoPoC públicaNuclei —Metasploit —Patch referenciado
Ciclo de vida
29 jun 2026Publicada no NVD
29 jun 2026PoC pública
Recomendação: Planejar correção próxima — já existe PoC pública.
Gorse before 0.5.10 contains an authentication bypass vulnerability in the /api/dump and /api/restore endpoints that allows unauthenticated attackers to access protected functionality when admin_api_key is empty, which is the default configuration. Remote attackers can exfiltrate the entire database including user records, items, and feedback data containing personally identifiable information, or completely overwrite the dataset without authentication.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
gorse-io · gorsePoCs públicas encontradas — 1
githubgithub.com/BiiTts/CVE-2026-56782-Gorse-Auth-Bypass★ 0⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
https://github.com/gorse-io/gorse/commit/19fdcbb309fb5b609e9cc3eb10c74885b5b27da9https://github.com/gorse-io/gorse/issues/1292https://github.com/gorse-io/gorse/pull/1293https://www.vulncheck.com/advisories/gorse-unauthenticated-database-dump-and-restore-via-api-dump-and-api-restore-endpoints