CVE-2026-63244 – Bypass de autenticação em LMS da WizLearn
Uma vulnerabilidade crítica (CVSS 9.8) permite que atacante remoto não autenticado contorne a autenticação de senha e o fluxo OAuth no LMS da WizLearn. O exploit requer apenas um POST especialmente formatado, concedendo acesso total ao sistema, inclusive privilégios administrativos. O risco é alto devido ao impacto total em confidencialidade, integridade e disponibilidade. A probabilidade de exploração nos próximos 30 dias é de 0,5% segundo EPSS. Prioridade de mitigação deve ser imediata.
Os dados vêm do NVD com CVSS completo e do EPSS, mas não há confirmação adicional de CISA KEV ou exploit público, justificando nível médio de confiança.
O que aconteceu
Um atacante envia um request HTTP POST mal‑formado para o endpoint de login do LMS, explorando uma falha que ignora a verificação de credenciais e o fluxo OAuth. O CVSS 3.1 indica vetor de ataque NETWORK, complexidade LOW, sem necessidade de privilégios ou interação do usuário. Na prática, isso significa que qualquer host na internet pode obter acesso administrativo sem credenciais válidas.
Por que isso importa
Comprometimento total do ambiente de aprendizado: exposição de dados de usuários, alteração de conteúdo educacional e possibilidade de usar a plataforma como pivô para ataques internos. A indisponibilidade do LMS pode interromper processos de treinamento corporativo críticos.
Quem está em risco
Organizações que utilizam o LMS da WizLearn, especialmente em setores corporativo e de infraestrutura, em qualquer região global.
Detalhes técnicos
Vetores: NETWORK, Complexidade LOW, Privilégios NONE, UI NONE. Exploração via POST ao endpoint de autenticação, contornando verificações de senha e OAuth. Técnica ATT&CK: T1190 (Exploração de Aplicação Web Pública) e T1556.006 (Abuso de Sessão Web). Não há IOCs estruturados. Não há PoC público conhecido.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar a correção lançada pela WizLearn imediatamente após disponibilidade
- 2
Implementar regras de WAF que bloqueiem POSTs ao endpoint de login contendo parâmetros inesperados
- 3
Habilitar MFA para todas as contas administrativas e revisar sessões ativas
Sugestões de detecção
- ›
Consultar logs de servidor web (ex.: Apache/Nginx access.log) para POSTs ao caminho /login ou similar que retornem código 200 sem cookie de sessão pré‑existente
- ›
Criar alerta no SIEM para eventos de autenticação bem‑sucedida (ex.: EventID 4624 no Windows ou auth.log no Linux) originados de IPs externos sem tentativa prévia de login
Falsos positivos
Alertas podem disparar em integrações legítimas que utilizam POSTs automatizados ao endpoint de login; validar presença de parâmetros esperados para reduzir ruído.