CVE-2026-111793: Openwave Messaging Limited Webtop Media Transcoder Transferência Incorreta de Recursos Entre Esferas Vulnerabilidade

Japan Vulnerability Notes diz que para CVE-2026-111793, "O desenvolvedor afirma que ataques explorando a vulnerabilidade foram observados."[3] O aviso JVN alerta que "se um atacante autenticado fizer upload de um arquivo especialmente criado seguindo etapas específicas, informações sensíveis podem ser obtidas."[3]De acordo com a descrição CVE publicada no OpenCVE, Openwave Webtop Media Transcoder não aplica restrições de tipo de arquivo definidas pelo administrador para restringir os tipos de arquivo a serem convertidos.[4] SecurityOnline relata que Webtop é a plataforma de webmail da Openwave, usada por provedores de serviço[5]; e que o transcodificador converte anexos para que os usuários possam visualizá-los no navegador.[5]O registro CVE do ThreatINT lista a falha como "MÉDIO: 4.3"[6] na escala CVSS, classificado como CWE-669 Transferência Incorreta de Recursos Entre Esferas[6].SecurityWeek relata que CISA adicionou os defeitos de segurança Openwave e Cisco ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) em 10 de novembro, instando agências federais a corrigir ambos até 24 de novembro.[1]De acordo com Suped, o aviso de segurança da Openwave e o CVE já eram públicos em outubro[2]; e uma compilação corrigida já estava disponível.[2]SecurityOnline relata que a falha afeta todas as versões anteriores a 1.1.22.0[5]; e que a Openwave recomenda migrar para "a versão suportada mais recente do Media Server 2.0."[5] O outlet acrescenta que administradores devem contatar a Openwave para obter detalhes do patch, conforme aconselha JPCERT/CC.[5]