Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/ Alertas/ Vulnerabilidad
Alto CVE-2026-104467 Multiple Vendors

Vulnerabilidad alta de bypass de autorización en YesWiki anterior a 4.6.7

Vulnerabilidad · Publicado 02/10/2026

8.1
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Alto
Resumen ejecutivo

YesWiki versiones anteriores a 4.6.7 contiene un defecto de autorización en ApiService::isAuthorized() que permite a atacantes no autenticados invocar rutas API administrativas cuando el modo API público está habilitado. Los atacantes pueden modificar configuraciones, acceder y eliminar archivos de respaldo mediante endpoints como api/ci/update_config y api/archives, comprometiendo la integridad y disponibilidad de wikis empresariales en LATAM.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

YesWiki before 4.6.7 contains an authorization bypass vulnerability in ApiService::isAuthorized() that allows unauthenticated attackers to call admin-only API routes when public API mode is enabled. Attackers can send requests to endpoints like api/ci/update_config and api/archives to overwrite configuration and list, download, or delete backup archives.

Puntuación CVSS

Score: 8.1/10 — Severidad: HIGH — Estado NIST: Deferred

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Debilidades (CWE)

CWE-862

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Actualizar YesWiki a versión 4.6.7 o superior inmediatamente
  • Desactivar modo API público si no es esencial
  • Implementar controles de red para restringir acceso a endpoints /api/*
  • Auditar logs de API para detectar llamadas no autorizadas
  • Restaurar desde backups verificados si se detectó explotación. Prioridad: ALTA (CVSS 8.1)

Fuentes originales

⬤ NIST NVD ↗
cve-2026-104467 nvd alto vulnerabilidad cwe-862
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas