Qué es y cómo funciona
La vulnerabilidad CVE-2026-126839 es una falla de deserialización insegura (CWE-502) en un componente BSON. El mecanismo de control que restringe los tipos de datos permitidos durante la deserialización puede ser eludido porque la verificación para reconocer una clase de tipos generados por el compilador se basa en una heurística demasiado permisiva y no en una identificación precisa.
Un atacante que pueda suministrar contenido BSON, que luego una aplicación deserialice en un miembro de tipo flexible, puede lograr que se construyan tipos fuera de la lista permitida y que se poblen con valores que él mismo controle. Esto puede provocar un estado de objeto inesperado y errores en la lógica posterior de la aplicación.
Impacto y técnicas de ataque
El impacto principal es la alteración del estado interno de la aplicación y la posible generación de errores que afecten su funcionamiento. La técnica MITRE ATT&CK asociada es T1190 – Exploit Public-Facing Application. No se requieren privilegios elevados más allá de la capacidad de colocar contenido influenciado por el atacante en la ruta de deserialización.
Explotación y exposición
La puntuación CVSS es de 4.2, indicando una severidad media. Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet. El INCIBE-CERT de España clasifica la severidad como P (por determinar dentro de su escala).
| CVE | CVE-2026-126839 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 4.2 / 10 |
| CWE | CWE-502 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.