¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-59074 en Edito CMS consiste en una verificación incorrecta de firmas criptográficas en la lógica de refresco de tokens JWT. Un usuario autenticado con bajos privilegios puede enviar un JWT manipulado que contenga el identificador de un usuario existente y, debido a la falta de validación de firma, obtener un token de sesión válido y firmado para cualquier cuenta del sistema, permitiendo suplantar incluso a administradores.
Productos y versiones afectadas
Edito CMS en versiones anteriores a 5.10.2607. También se han liberado parches para versiones antiguas de la serie 5.8.
Impacto y probabilidad de explotación
El impacto permite la escalada de privilegios y suplantación de identidad completa. Según EPSS, existe un 0.2% de probabilidad de explotación en los próximos 30 días (percentil 8%). Shodan reporta 0 hosts expuestos en internet actualmente. INCIBE-CERT clasifica la severidad como P (crítica).
¿Qué hacer?
Actualizar inmediatamente a Edito CMS versión 5.10.2607 o aplicar los hotfixes disponibles para versiones anteriores de la serie 5.8.
| CVE | CVE-2026-59074 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 8) |
| CWE | CWE-347 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |