Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/ Alertas/ Vulnerabilidad
Alto CVE-2026-72602 Multiple Vendors

Vulnerabilidad de path traversal en AsyncFuncAI deepwiki-open permite acceso no autenticado

Vulnerabilidad · Publicado 11/08/2026

7.5
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Alto
Resumen ejecutivo

Se reporta una vulnerabilidad de traversal de directorios (CVE-2026-72602, CVSS 7.5) en AsyncFuncAI deepwiki-open que permite a atacantes remotos sin autenticación enumerar la estructura de directorios del servidor a través del endpoint local-repository. El problema existe porque WIKI_AUTH_MODE está deshabilitado por defecto, exponiendo rutas arbitrarias del sistema de archivos. Empresas en LATAM que usen esta herramienta de wikis abiertas enfrentan riesgo de exposición de información sensible y reconocimiento del sistema.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

A path traversal vulnerability in AsyncFuncAI deepwiki-open through commit 16f35a0 allows unauthenticated remote attackers to obtain directory listings for arbitrary filesystem paths via the local-repository structure endpoint. The endpoint accepts an absolute filesystem path parameter and returns a directory listing without authentication, as WIKI_AUTH_MODE defaults to false. An attacker can enumerate sensitive directory contents on the host system.

Puntuación CVSS

Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Debilidades (CWE)

CWE-22

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Verificar inmediatamente si deepwiki-open está en uso en infraestructura crítica;
  • Aplicar parches disponibles del fabricante AsyncFuncAI o actualizar a commit posterior a 16f35a0;
  • Habilitar WIKI_AUTH_MODE=true como mitigación temporal;
  • Revisar logs de acceso a endpoints local-repository para detectar exfiltración previa;
  • Implementar restricciones de red en endpoints administrativos;
  • Monitorear NIST NVD para actualizaciones de severidad

Fuentes originales

⬤ NIST NVD ↗
cve-2026-72602 nvd alto vulnerabilidad cwe-22
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas