¿Qué es la vulnerabilidad?
Zr.Admin.NET, entre los commits af07ffc y eb9228a, contiene una vulnerabilidad de referencia directa a objetos insegura (IDOR) en la función SysProfileController.UpdateProfile. Esto permite a cualquier usuario autenticado modificar información de otras cuentas mediante el parámetro UserId.
¿Cómo funciona el ataque?
Un atacante puede cambiar el número de teléfono del administrador a uno bajo su control, solicitar un código SMS mediante la ruta /checkMobile, y luego iniciar sesión a través de /PhoneLogin para tomar el control completo de la cuenta administrativa.
Impacto y criticidad
La vulnerabilidad tiene un puntaje CVSS de 8.8 (Alto) y está catalogada como CWE-639. Permite escalamiento de privilegios y toma de control de cuentas administrativas. Según Shodan, actualmente hay 0 hosts expuestos indexados en internet.
Técnicas de ataque asociadas
Esta vulnerabilidad está asociada a las técnicas MITRE ATT&CK T1078 – Valid Accounts y T1213 – Data from Information Repositories.
| CVE | CVE-2026-129465 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| CWE | CWE-639 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.