CVE-2026-61500criticalexploração observadaCWE-338

CVE-2026-61500: falha crítica em rejetto hfs

Rejetto HFS < 3.2.1 Session Forgery via Predictable Signing Key

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar hfs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

70Vexday Risk Score

Priorize a correção. Ela exploração observada pelo VulnCheck, tem alerta oficial do governo brasileiro e tem prova de conceito pública.

ssvc Actcvss 9.3epss 1.9%
da publicação à arma75 dias
Publicada no NVD13 de jul.
1ª PoC+75d
VulnCheck+80d
Alerta oficial no Brasil

O governo federal publicou alerta, recomendação ou boletim que cita esta vulnerabilidade.

Fonte: CTIR Gov (GSI) e CISC Gov.br, sob licença CC BY-ND 3.0.
Rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random() generator and discloses outputs of the same generator to unauthenticated clients during login. A remote attacker can collect a small number of login responses, reconstruct the generator's state, recover the signing key, and forge a valid administrator session cookie, leading to full administrative access and remote code execution via the server_code configuration feature.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
rejetto · hfs
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — rejetto hfs

No mesmo produto, das mais perigosas para as menos.

CVE-2026-61505MEDIUMRejetto HFS < 3.2.1 Limited File Disclosure via Path Traversal in lang ParameterEPSS 0.5%CVE-2026-61503MEDIUMRejetto HFS < 3.2.1 Username Enumeration via Login Response DifferencesEPSS 0.4%CVE-2026-61501MEDIUMRejetto HFS < 3.2.1 Stored XSS in Admin Log ViewerEPSS 0.4%CVE-2026-61504MEDIUMRejetto HFS < 3.2.1 Stored XSS via File Names in Basic Web ListingEPSS 0.2%CVE-2026-61502MEDIUMRejetto HFS < 3.2.1 Cross-Site Request Forgery via GET RequestsEPSS 0.2%