Qué es y cómo funciona
La vulnerabilidad CVE-2026-126997 es una falla de tipo Server-Side Request Forgery (SSRF) en el framework de código abierto JeecgBoot. Se encuentra en la función RestTemplate.exchange del archivo org/jeecg/modules/airag/flow/c/a.class del componente flow-run Endpoint. Esto permite que un atacante remoto manipule al servidor para que realice solicitudes HTTP a sistemas internos o externos, potencialmente accediendo a información sensible o ampliando el acceso.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de JeecgBoot hasta la 3.9.6.
Impacto y explotación
El CVSS de esta vulnerabilidad es 7.3 (Alto). La explotación remota es posible y ya existe al menos una prueba de concepto (PoC) pública disponible en GitHub, lo que aumenta la probabilidad de que sea utilizada activamente. La técnica MITRE ATT&CK T1190 – Exploit Public-Facing Application está asociada a este tipo de ataque. Según datos de Shodan, actualmente no hay hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directamente expuestos en internet, aunque el riesgo persiste para instancias no indexadas.
Qué hacer
El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió. Dado que el exploit es público, se recomienda extremar la vigilancia. Los usuarios deben buscar actualizaciones oficiales del proyecto JeecgBoot que parchen esta vulnerabilidad. Mientras tanto, se deben revisar y restringir los permisos de red del servidor afectado para mitigar el impacto de un posible ataque SSRF.
| CVE | CVE-2026-126997 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| CWE | CWE-918 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.