CVE-2026-44977

Ficha técnica de vulnerabilidade

PUBLICADA 16 DE OUT. DE 2026MODIFICADA 21 DE OUT. DE 2026

9.0CVSS 3.1

Severidade Crítica

CWE-79 Dados consultados em 23 de out. de 2026Registro original

Severidade técnicaCríticaCVSS 3.1

Probabilidade EPSS0.3%Percentil 27

Exploração conhecidaNão sinalizadaNo dado disponível

Prioridade sugerida—Ainda não analisada

Entenda a falha

Análise técnica

A análise em português ainda não foi gerada para esta CVE. Consulte a descrição original abaixo e o registro do NVD.

Descrição original do NVD

countly-server is the server-side part of Countly, a product analytics solution. Prior to 24.05.50 and 25.03.44, plugins/star-rating/api/api.js allows a non-global application administrator to use uploadFeedbackFile to store attacker-controlled active content while trusting the supplied MIME type. plugins/star-rating/frontend/app.js publicly serves the stored content from feedback/preview/ with the attacker-influenced Content-Type, so a global administrator who opens the preview executes the payload in the Countly origin and exposes authenticated session capabilities, including auth_token and csrf_token values. This issue is fixed in versions 24.05.50 and 25.03.44.

Próximos passos

Resposta recomendada

Ainda não há uma recomendação específica nesta ficha. Consulte o aviso do fornecedor e as referências do NVD para identificar versões corrigidas e medidas de contenção.

Esta seção será completada quando houver dados suficientes para a análise.

Relações verificáveis

No radar da Statecraft

Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.

Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.

STATECRAFT / CYBER INTELLIGENCE

CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.