JFrog Artifactory (Self Hosted) en versiones anteriores a 7.133.11 es vulnerable a una escalada de privilegios (CWE-863, autorización incorrecta) porque el sistema valida la firma y el emisor del token, pero no su alcance (scope). Un atacante con un token válido podría así acceder a recursos o acciones para los que no debería estar autorizado. La vulnerabilidad tiene un CVSS de 8.1 y ya está en el catálogo CISA KEV, lo que confirma explotación activa en el mundo real.
El impacto es alto: Artifactory suele almacenar artefactos, credenciales y dependencias internas de las organizaciones, por lo que una escalada de privilegios puede derivar en acceso a repositorios privados o movimiento lateral. La probabilidad de explotación estimada por EPSS es de 9,1% en los próximos 30 días (percentil 95%). Se recomienda actualizar a la versión 7.133.11 o superior.
| CVE | CVE-2026-42016 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 8.1 / 10 |
| EPSS | 9.1% en 30 días (percentil 95) |
| CWE | CWE-863 |
| CISA KEV | Explotación activa confirmada |
| Exposición (Shodan) | 344 host(s) expuesto(s) en internet ahora mismo |