Qué es y cómo funciona
La vulnerabilidad CVE-2026-125758 es una falla de omisión de autenticación en el software de analítica Aptabase. Un atacante sin credenciales puede aprovechar el secreto de autenticación (AUTH_SECRET) de ejemplo, que es de conocimiento público, para falsificar enlaces de inicio de sesión. Esto se logra enumerando correos electrónicos registrados a través del endpoint /api/_auth/signin y luego forjando tokens JWT firmados con el algoritmo HS256 que son canjeados por /api/_auth/continue.
Impacto y consecuencias
Un atacante exitoso puede suplantar la identidad de cualquier usuario registrado, lo que le permitiría acceder a sus funciones y datos. Las acciones maliciosas posibles incluyen la exportación de datos de analítica de las aplicaciones y la transferencia de la propiedad de las aplicaciones a otra cuenta.
Productos y versiones afectadas
Esta vulnerabilidad afecta a todas las versiones de Aptabase anteriores al commit identificado como 61d4c01 en su repositorio de código.
Explotación y probabilidad
La vulnerabilidad tiene una puntuación CVSS de 7.4 (Alta) y está clasificada bajo CWE-1188 (Uso Inicial de Secretos de Autenticación Inseguros). Al momento del reporte, no está incluida en el catálogo KEV (Known Exploited Vulnerabilities) de CISA.
Qué hacer
Los administradores de sistemas que utilicen Aptabase deben actualizar inmediatamente a una versión que incluya el commit 61d4c01 o posterior para corregir la falla.
| CVE | CVE-2026-125758 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.4 / 10 |
| CWE | CWE-1188 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |