Divulgaciones de vulnerabilidades de seguridad — CVE-2026-78829 / 78830 / 78831 / 78832

Divulgaciones técnicas públicas y pasos de reproducción de pruebas de concepto para cuatro vulnerabilidades a las que el MITRE CVE Program asignó identificadores CVE (solicitud de CVE registrada el 2026-06-20).

Vulnerabilidades divulgadas

CVE ID	Producto	Vulnerabilidad	CWE	CVSS 3.1	Autenticación requerida
CVE-2026-78829	Dromara MaxKey 4.x	XSS reflejado mediante `redirect_uri` en el flujo OAuth → robo de sesión/JWT de administrador	CWE-79	8.2 Alta	No (enlace manipulado)
CVE-2026-78830	mingSoft MCMS 6.1.1	XSS almacenado mediante `/file/upload` sin autenticación	CWE-79	6.1 Media	No
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Cambio arbitrario de contraseña de usuario sin autenticación mediante `/api/dynamic/Invoke`	CWE-306	9.1 Crítica	No
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Divulgación de información sensible sin autenticación mediante `/api/dynamic/GetList`	CWE-200	8.6 Alta	No

Cada carpeta contiene:

README.md — aviso completo: descripción oficial del CVE, análisis de la causa raíz, reproducción paso a paso (pares de solicitud/respuesta HTTP y comandos curl de una línea), impacto, remediación, referencias y cronología.
CVE-2026-XXXXX.json — el registro de la vulnerabilidad en formato CVE JSON 5, coincidente con la estructura utilizada por el repositorio oficial cvelistV5, preparado por el reportero como referencia.

Nota sobre la cadena de ataque (OpenAuth.Net)

CVE-2026-78831 y CVE-2026-78832 comparten la misma causa raíz —la Dynamic API (/api/dynamic/*) no realiza ninguna autenticación/autorización— y pueden combinarse en una cadena completa de toma de control sin autenticación:

GetList (CVE-2026-78832) vuelca SysUser → todas las credenciales en texto plano;
Invoke (CVE-2026-78831) cambia la contraseña del administrador (o simplemente inicia sesión con la contraseña volcada);
El endpoint /api/Files/Upload sin restricciones y sin autenticación (reportado por separado, aún sin CVE ID asignado) permite la carga arbitraria de archivos con potencial de WebShell/RCE.

Hallazgos adicionales (sin CVE ID asignado)

Durante la misma investigación, se identificaron dos problemas adicionales sin autenticación en OpenAuth.Net que no recibieron CVE IDs en la asignación actual:

Eliminación de datos sin autenticación mediante /api/dynamic/Delete (CWE-285, incl. eliminación de registros de auditoría para antiforense) — Media;
Carga de archivos sin restricciones y sin autenticación mediante /api/Files/Upload (CWE-434, potencial de RCE) — Crítica.

Estos se documentan en el informe de investigación local y pueden enviarse al CVE Program por separado.

Divulgación responsable

Toda la reproducción se realizó en entornos de laboratorio controlados contra instancias de prueba de propiedad privada o objetivos autorizados. Los valores sensibles de las respuestas capturadas (contraseñas, tokens, secretos) están redactados en estos informes. Estas divulgaciones se publican únicamente con fines defensivos —para ayudar a los usuarios de los productos afectados a evaluar y mitigar el riesgo.

Cronología

Fecha	Evento
2026-06-20	Solicitud de CVE registrada en el MITRE CVE Program
2026-06-24	Verificación en laboratorio de OpenAuth.Net completada
2026-06	CVE-2026-78829 ~ CVE-2026-78832 asignados por MITRE
2026-10-30	Divulgación técnica pública en GitHub

Descubierto y reportado por CloudFutureSec (@CloudFutureSec).

cve-disclosures

Más Populares