Qué es y cómo funciona
Se ha identificado una vulnerabilidad de autenticación incorrecta (CWE-287) en el software AIP-PUB ACPs-community, en versiones hasta la 2.2.0. La falla reside en la función send_verification_code del archivo registry-server/app/account/service_auth.py, específicamente en el endpoint verify-code. Un atacante puede manipular el argumento phone para eludir el proceso de autenticación. El ataque puede ser lanzado de forma remota.
Productos y versiones afectadas
La vulnerabilidad afecta a AIP-PUB ACPs-community en todas las versiones hasta la 2.2.0 inclusive.
Impacto y explotación actual
El exploit para esta vulnerabilidad ya está disponible públicamente. Según el análisis EPSS, existe una probabilidad del 0.4% de que sea explotada activamente en los próximos 30 días. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. La técnica MITRE ATT&CK asociada es T1078 – Valid Accounts.
Qué hacer
El problema fue marcado como "completado" en el repositorio de GitHub, pero no fue posible identificar el PR o commit específico que lo solucionó. Se recomienda a los usuarios contactar al mantenedor del proyecto AIP-PUB ACPs-community para confirmar la disponibilidad de una versión parcheada y actualizar a la misma de inmediato.
| CVE | CVE-2026-127278 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.4% en 30 días (percentil 34) |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.