Qué es la vulnerabilidad
Meteroid contiene una vulnerabilidad de bypass de autorización (CWE-639) en el manejador gRPC GetApiTokenById del servicio ApiTokensService. La falla ocurre porque el servicio no aplica correctamente el contexto del tenant del llamante.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de Meteroid anteriores a la 2.2.0.
Cómo funciona la explotación
Usuarios autenticados con el permiso settings:read pueden proporcionar el ID de un token API de otro tenant para obtener su hash secreto Argon2 y el ID del tenant propietario.
Impacto y severidad
La vulnerabilidad tiene una clasificación de severidad BAJA (CVSS 3.1) y no está incluida en el catálogo CISA KEV de vulnerabilidades explotadas activamente.
| CVE | CVE-2026-125751 |
|---|---|
| Severidad | LOW |
| CVSS | 3.1 / 10 |
| CWE | CWE-639 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.