Una vulnerabilidad crítica (CVSS 9.8) en el software OpsTree REMS permite a atacantes sin autenticar obtener acceso de SuperUsuario administrativo. El problema reside en que un atacante puede enviar una solicitud de inicio de sesión manipulada para la cuenta de administrador, estableciendo el campo controlado por el cliente is_local_auth en verdadero, lo que genera un token JWT válido incluso con una contraseña incorrecta.
Esta falla de autenticación (CWE-287) otorga a un atacante control total sobre el sistema afectado, permitiéndole crear cuentas válidas (T1078 de MITRE ATT&CK). Aunque el catálogo NVD la cataloga como crítica, los datos de Shodan indican que actualmente no hay instancias expuestas públicamente en internet.
| CVE | CVE-2026-126768 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.