CVE-2026-91998

Crítica9.9Publicada el 15 de septiembre de 2026

Casdoor hasta la versión 4.4.0 contiene una vulnerabilidad de omisión de autorización en el endpoint /api/mcp que permite a los atacantes con el clientId y clientSecret de cualquier aplicación obtener acceso sin restricciones a la administración de usuarios en todas las organizaciones. Los atacantes pueden enumerar registros de usuarios, incluidos los salts de contraseñas y las direcciones de correo electrónico, crear cuentas de administrador, modificar usuarios existentes y eliminarlos en cualquier organización proporcionando credenciales legítimas de una sola aplicación.

Puntuación CVSS9.9 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-863

Una vulnerabilidad explotada de Cisco ISE desata una oleada de ataques contra canales de software confiables

Cisco ISE sufre una vulnerabilidad crítica explotada activamente. El artículo analiza también fallos en Orkes Conductor, libheif y Discourse.

21 sept 202618:439 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.

Base de datos CVE

Artículos relacionados

Una vulnerabilidad explotada de Cisco ISE desata una oleada de ataques contra canales de software confiables