Os dois avisos afetam versões do Openship anteriores à 0.5.0. Uma falha permite que o proprietário de uma organização apague os registros de servidores das demais. A outra permite executar comandos como root no servidor de email pelo cadastro de uma caixa postal. Confira a versão instalada e os caminhos de autorização e execução descritos em cada ficha.
AplicativoOpenship
Data do compilado
Vulnerabilidades2
A revisão dos mantenedores de 25/09/2026 confirma que os dois problemas históricos foram corrigidos na branch main examinada. Você precisa conferir a atualização da sua instalação, pois a correção no projeto não confirma que o seu ambiente recebeu a versão corrigida.
Gravidade críticaCorreção disponível
Execução de comandos como root pelo nome de uma caixa postal
O Mail-Admin enviava consultas ao psql no servidor de email por SSH, usando um heredoc, um bloco de texto encerrado por um delimitador fixo. O nome de exibição da caixa postal recebia escape para aspas simples, mas preservava as quebras de linha. Uma linha igual ao delimitador encerrava o bloco prematuramente e permitia que o shell executasse o texto seguinte como comandos, com privilégios de root no servidor de email. A correção envia a transação inteira como um único argumento -c do psql, com escape para o shell, mantendo as quebras de linha dentro do texto da consulta.
Casos de uso afetados
Você usa o Mail-Admin para criar caixas postais em um servidor de email conectado ao Openship. Um acesso autenticado capaz de chamar POST /api/mail/admin/:serverId/mailboxes pode inserir o conteúdo malicioso no campo name e executar comandos no servidor remoto.
Segundo a análise do relato, um membro da organização com poucos privilégios conseguia alcançar a criação de caixas postais porque a verificação de permissões não restringia adequadamente a ação. A execução como root permite comprometer o servidor e acessar ou alterar o conteúdo das caixas postais.
Confira na sua instância
Na versão instalada, examine o caminho de transaction() em psql-runner.ts e confirme que ele encaminha a consulta para runSql e mailPsqlCommand como um único argumento -c com escape POSIX. O caminho corrigido não deve montar um heredoc com delimitador fixo, inclusive no transporte por container e no transporte legado do servidor de email. Em homologação, use testes de regressão com nomes contendo quebras de linha e texto semelhante a um delimitador, sem acrescentar comandos de shell, para conferir que o conteúdo permanece dentro do argumento da consulta. Essa conferência é sugerida a partir da correção descrita. Os mantenedores informam que os testes de regressão para injeção no psql passaram na revisão de 25/09/2026.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
oblien/openship
< 0.5.0
0.5.0
Os campos estruturados da API não informam pontuação CVSS. O texto do relato cita 9,9 como pontuação do pesquisador. Até aplicar a atualização, restrinja o Mail-Admin a administradores de confiança, conforme o comunicado. Essa medida reduz o acesso ao recurso vulnerável, mas mantém o mecanismo de injeção nas versões afetadas.
Gravidade altaCVSS: 7,5/10Correção disponível
Exclusão de servidores de outras organizações pela redefinição de configurações
A rota DELETE /api/system/settings verificava o papel owner na organização do solicitante, mas o processamento enumerava os servidores de todas as organizações com repos.server.list(). Por isso, um acesso autenticado com propriedade apenas sobre o workspace pessoal podia apagar as configurações da instância e os registros de servidores de outros clientes, incluindo a configuração de acesso por SSH e as permissões associadas. A correção restringe a consulta a listByOrganization(ctx.organizationId). A revisão posterior dos mantenedores também confirma que a redefinição exige autorização de administrador da instância.
Casos de uso afetados
Você mantém várias organizações em uma instalação própria do Openship e permite que clientes sejam proprietários dos seus workspaces. Nas versões afetadas, esse papel permite acionar uma exclusão que alcança servidores cadastrados por outras organizações.
Um acesso limitado ao workspace pessoal também alcança a rota vulnerável. Assim, a separação dos servidores por organização no painel não evita que essa chamada remova os registros usados pelo Openship para se conectar aos servidores das demais organizações.
Confira na sua instância
Confira a versão do Openship efetivamente executada e compare-a com a faixa afetada. No código correspondente a essa instalação, examine a autorização de DELETE /api/system/settings e a consulta usada pela redefinição: a revisão de 25/09/2026 exige administração da instância e usa listByOrganization(ctx.organizationId) para a limpeza. Em uma instalação descartável de homologação, com duas organizações e servidores fictícios cadastrados, confirme que um proprietário apenas do workspace pessoal recebe uma recusa ao tentar a redefinição e que os registros da outra organização permanecem intactos. Esse teste é uma conferência sugerida a partir do comportamento documentado.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
oblien/openship
< 0.5.0
0.5.0
O relato original descreve a gravidade como crítica, mas os campos estruturados da API classificam o aviso como alta e informam CVSS 7,5. Até atualizar, restrinja os acessos com papel owner a administradores de confiança, conforme a orientação temporária do comunicado. Essa restrição não corrige a consulta que alcança outras organizações.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
