CVE-2026-86777: AlchemyCMS, accesso non autenticato all'API

Il CVE-2026-86777 identifica una mancanza di autorizzazione su AlchemyCMS, il CMS open source per la gestione di contenuti web. L'endpoint API GET /api/nodes non effettua verifiche di autenticazione, permettendo a chiunque—anche da fuori della rete aziendale—di richiedere e ottenere l'elenco completo di tutti i nodi di navigazione di ogni sito e linguaggio gestiti da un'istanza. Questo espone nomi di pagine, strutture URL interne e link agli amministratori di infrastruttura web, informazioni normalmente ristrette.

La vulnerabilità ha un CVSS di 5,3 (medium) e colpisce AlchemyCMS versioni prima della 7.4.16 e tutte le versioni 8.x fino alla 8.3.6. La NVD ha confermato la falla il 9 settembre 2026. Il fatto significativo è che il 7 novembre 2026 è stato rilevato un proof of concept pubblico su GitHub: questo segnale indica che la falla è adesso sfruttabile in pratica e conosciuta nella comunità di ricerca della sicurezza.

Gli amministratori di istanze AlchemyCMS devono prioritariamente aggiornare il software alla versione 7.4.16 o successive (branch 7.x) oppure alla 8.3.6 o successive (branch 8.x). Chi non può aggiornare subito deve verificare l'accessibilità dell'endpoint /api/nodes da reti non controllate e considerare di bloccarla con WAF, reverse proxy o firewall applicativo. È consigliato anche fare una ricognizione per identificare se l'endpoint è stato richiesto dai log di accesso.