Una vulnerabilidad crítica de autenticación en OpsTree REMS hasta la versión 1.0.0 permite que atacantes remotos no autenticados accedan a endpoints de la API de Governance, incluyendo /api/v1/databases. Los atacantes pueden enviar solicitudes sin header de autorización o con tokens JWT inválidos o manipulados, obteniendo así hosts, nombres de usuario y contraseñas de bases de datos almacenadas en el sistema.
Con un CVSS de 7.5 (alto) y clasificada como CWE-306 (falta de autenticación crítica), esta vulnerabilidad sigue la técnica MITRE ATT&CK T1190 de explotación de aplicaciones públicas. Aunque Shodan no reporta hosts expuestos actualmente, la exposición de credenciales de bases de datos representa un riesgo significativo de filtración de información sensible.
| CVE | CVE-2026-126769 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| CWE | CWE-306 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.