¿Qué es la vulnerabilidad?
La librería HashiCorp cap para validación de tokens JWT presenta una falla de seguridad (CVE-2026-19194, CWE-178) que permite omitir la validación de claims, lo que podría causar que aplicaciones downstream tomen decisiones de autorización basadas en valores de claims diferentes a los validados.
Productos y versiones afectadas
Versiones de HashiCorp cap anteriores a 0.14.0.
Impacto y explotación
La explotación requiere que un atacante controle claims en un JWT firmado por una clave confiable para la aplicación. INCIBE-CERT (España) clasifica la severidad como P (Precaución). Actualmente, Shodan reporta 0 hosts indexados con esta vulnerabilidad detectada, indicando baja exposición inmediata en internet.
¿Qué hacer?
Actualizar a la versión cap 0.14.0 o superior, donde la vulnerabilidad está corregida.
| CVE | CVE-2026-19194 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-178 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).