CVE-2026-51119 - Escalada de Privilegios en Invixium IXM WEB v2.3.85.25

Descripción General

Existe una vulnerabilidad de escalada de privilegios en Invixium IXM WEB v2.3.85.25 debido a la falta de comprobaciones de autorización en el endpoint POST /SystemUsers/CreateAppUser.

Un usuario autenticado con bajos privilegios puede abusar de este endpoint para crear una nueva cuenta de administrador, lo que lleva a un acceso administrativo completo.

• CVE: CVE-2026-51119
• Vendedor: Invixium
• Producto: IXM WEB
• Versión Afectada: 2.3.85.25
• Severidad: Alta (Escalada de Privilegios)

Descripción de la Vulnerabilidad

La aplicación expone el endpoint:

POST /SystemUsers/CreateAppUser

sin realizar las comprobaciones de autorización del lado del servidor adecuadas.

Un usuario autenticado normal puede invocar directamente este endpoint y crear una cuenta de administrador, aunque esta funcionalidad solo debería estar disponible para usuarios privilegiados.

Después de crear la cuenta de administrador, el atacante puede autenticarse usando las credenciales recién creadas y obtener privilegios administrativos completos.

Impacto

La explotación exitosa permite a un atacante autenticado:

• Crear cuentas de administrador.
• Escalar privilegios.
• Obtener acceso administrativo completo a la aplicación.
• Gestionar usuarios y funciones administrativas.

Requisitos del Ataque

• Cuenta de usuario autenticado válida.
• Acceso de red a la aplicación objetivo.

Causa Raíz

Autorización Incorrecta (Falta de Validación de Autorización del Lado del Servidor).

El servidor acepta solicitudes a funcionalidades privilegiadas sin verificar si el usuario autenticado posee privilegios de administrador.

Endpoint Afectado

POST /SystemUsers/CreateAppUser

Cronología

Créditos

Descubierto y divulgado de manera responsable por Asim.

Referencias

• CVE-2026-51119