A CISA adicionou duas novas vulnerabilidades ao seu Catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), com base em evidências de exploração ativa. As vulnerabilidades afetam o TrueConf Server e permitem a execução de scripts arbitrários e a injeção de código.
Detalhes Técnicos
CVE-2026-72529: Vulnerabilidade de falta de autenticação para função crítica no TrueConf Server, com CVSS 9.8 (CRÍTICO). Um atacante remoto não autorizado pode executar um script arbitrário chamando uma função não documentada.
CVE-2026-72530: Vulnerabilidade de injeção de código no TrueConf Server, com CVSS 9.0 (CRÍTICO). Um atacante remoto não autorizado pode usar um script especialmente criado para escapar do ambiente isolado e executar código arbitrário no sistema host.
Recomendações
Atualizar o TrueConf Server para uma versão não vulnerável.
Restringir o acesso à porta 4307/TCP.
Implementar medidas de segurança para detectar e prevenir ataques.
