¿Qué es la vulnerabilidad?
PolicyPress, una herramienta de gestión de políticas de cumplimiento para equipos pequeños y medianos, presenta una falla que permite la exposición de información sensible. Esto ocurre debido a una implementación insegura de redacción de contenido mediante CSS y configuraciones predeterminadas vulnerables en los flujos de trabajo iniciales.
Productos y versiones afectadas
Todas las versiones de PolicyPress anteriores a la 1.4.1 están afectadas por esta vulnerabilidad.
Impacto y explotación
La vulnerabilidad, clasificada como CWE-200 (Exposición de información sensible) y CWE-390 (Detección de errores sin acción), podría ser explotada mediante la técnica MITRE ATT&CK T1213 (Data from Information Repositories). Según Shodan, actualmente no hay hosts indexados expuestos en internet. INCIBE-CERT de España la clasifica con severidad P (baja prioridad).
¿Qué hacer?
La vulnerabilidad ha sido parcheada en la versión 1.4.1 de PolicyPress. Se recomienda actualizar inmediatamente a esta versión para mitigar el riesgo.
| CVE | CVE-2026-68541 |
|---|---|
| Severidad | HIGH |
| CWE | CWE-200, CWE-390 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.