Se ha detectado una vulnerabilidad de inyección SQL en Nango (versiones anteriores a la 0.71.3) que afecta a la API del orquestador. Un atacante no autenticado puede enviar una clave de grupo maliciosa al endpoint POST /v1/immediate, logrando ejecutar consultas apiladas contra la base de datos Postgres.
El impacto es alto, ya que permite la ejecución de comandos arbitrarios en la base de datos del scheduler. Aunque la severidad es considerable (CVSS 7.5), actualmente no se han detectado hosts expuestos en internet a través de Shodan.
| CVE | CVE-2026-125759 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Nango 0.71.3
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
T1190 – Exploit Public-Facing Application
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.