Qué es y cómo funciona
Una vulnerabilidad de autorización faltante (CWE-862) en los endpoints /api/ai/approvals de Pulse permite a usuarios autenticados con permisos de nivel viewer gestionar solicitudes de aprobación que deberían estar restringidas a roles superiores. Atacantes pueden listar solicitudes pendientes para exponer comandos y objetivos propuestos, además de aprobar o denegar solicitudes de otros usuarios, alterando el estado de decisiones y auditoría.
Productos y versiones afectadas
Versiones de Pulse desde 5.0.17 hasta antes de 6.8.0.
Impacto y explotación
CVSS: 5.4 (Medio). INCIBE-CERT de España lo clasifica con severidad P. Según Shodan, actualmente hay 0 hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un bajo volumen de objetivos inmediatos.
Qué hacer
Actualizar a Pulse versión 6.8.0 o superior para parchar la vulnerabilidad.
| CVE | CVE-2026-129428 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.4 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).