Qué es y cómo funciona
Se descubrió una falla en Kroxylicious donde el parser de archivos de reglas del autorizador ACL desescapa incorrectamente literales de expresiones regulares matching /…/ usando reglas de desescape de cadenas, lo que elimina todos los escapes de barra invertida. Esto hace que una regla de permitir como matching /orders\.v1/ se compile como la regex orders.v1, que también coincide con nombres no deseados como ordersXv1, y clases de caracteres como \d y \w pierdan su significado especial.
Impacto
Las reglas de permitir escritas con escapes regex pueden aplicarse a más recursos de los que el autor pretendía. Dependiendo de la configuración ACL, esto puede permitir que un cliente Kafka autenticado acceda a un recurso (como leer o escribir un topic) que debería haber sido denegado.
Exposición y explotación
Shodan tiene 0 hosts indexados actualmente con este CVE detectado. INCIBE-CERT (España) clasifica la vulnerabilidad con severidad P.
Detalles técnicos
CWE: 863
CVSS: 5.3
| CVE | CVE-2026-128424 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.3 / 10 |
| CWE | CWE-863 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |