Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-126309 (CWE-73) es un problema de path traversal en el componente de importación de claves Transit del software OpenBao. Permite a un atacante que ya tiene credenciales válidas (autenticado) eludir las restricciones de nombres configuradas en las políticas de control de acceso (ACL). Al craftear secuencias de traversal durante el proceso de importación, el atacante puede escribir material de clave bajo nombres de clave Transit arbitrarios, saltándose la restricción required_parameters.
Productos y versiones afectadas
Las versiones de OpenBao afectadas son todas las anteriores a 2.6.5 y las anteriores a 2.7.2.
Impacto y severidad
La vulnerabilidad tiene una puntuación CVSS de 7.1 (Alta). Fue catalogada como crítica/alta por el NVD en las últimas 24 horas.
Explotación en el mundo real
Según el análisis de EPSS, la probabilidad de explotación real en los próximos 30 días es del 0.4% (percentil 37%). Actualmente, Shodan no tiene hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directamente expuestos en internet.
Qué hacer
Los usuarios de OpenBao deben actualizar a la versión 2.6.5 o superior de la rama 2.6, o a la versión 2.7.2 o superior de la rama 2.7, según corresponda.
| CVE | CVE-2026-126309 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.1 / 10 |
| EPSS | 0.4% en 30 días (percentil 37) |
| CWE | CWE-73 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).