¿Qué es esta vulnerabilidad?
El CVE-2026-126801 es una vulnerabilidad de bypass de autorización (CWE-639) en el endpoint OAuth bind/merge de Rote. Permite a usuarios autenticados fusionar cualquier cuenta vinculada con OAuth (GitHub o Apple) a su propia cuenta, sin autorización.
Productos y versiones afectadas
Rote desde la versión 1.2.0 hasta la 2.6.0.
Impacto y funcionamiento
Atacantes pueden enviar un existingUserId público y un ID de usuario de GitHub o Apple para tomar control de notas, archivos adjuntos y claves API de la víctima, además de eliminar su cuenta. Técnicas MITRE ATT&CK asociadas: T1078 – Valid Accounts y T1213 – Data from Information Repositories.
Explotación y exposición
CVSS: 8.8 (Alto). EPSS indica un 0.4% de probabilidad de explotación real en los próximos 30 días (percentil 35%). Shodan reporta 0 hosts expuestos en internet actualmente.
Recomendaciones
Actualizar Rote a una versión posterior a la 2.6.0 para aplicar parches de seguridad.
| CVE | CVE-2026-126801 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| EPSS | 0.4% en 30 días (percentil 35) |
| CWE | CWE-639 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.