Falha crítica no Edito CMS permite que qualquer usuário logado assuma contas de administrador

Uma falha grave de autenticação foi revelada no Edito CMS: a CVE-2026-59074, classificada como 8.7 HIGH no CVSS 4.0, expõe uma verificação criptográfica de assinatura quebrada na rotina de refresh do JWT. Na prática, qualquer conta autenticada com privilégios baixos pode montar um token com o identificador de outro usuário e sair com uma sessão totalmente válida para aquela conta, incluindo contas de administrador.

A vulnerabilidade é explorável remotamente e não exige nada além de um login básico, o que a transforma em um presente para atacantes que buscam assumir o controle total do gerenciador de conteúdo. Com o acesso, é possível reescrever páginas, injetar scripts maliciosos, exfiltrar dados e se mover lateralmente pela rede.

O fornecedor liberou a correção na versão 5.10.2607, com hotfixes para a linha 5.8. Atualize agora e imponha validação estrita de assinatura JWT em todos os fluxos de token. Para quem acessa painéis administrativos remotamente, proteger essas sessões com uma camada de VPN criptografada e focada em privacidade deixou de ser opcional.