Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Alto CVE-2026-79667 Multiple Vendors

Vulnerabilidad alta en Ech0 ≤4.3.4: bypass de restricciones de acceso con privilegios

Vulnerabilidad · Publicado 25/08/2026

7.6
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Alto
Resumen ejecutivo

Ech0 versiones 4.3.4 y anteriores no validan correctamente los scopes de tokens de acceso en rutas administrativas privilegiadas (/api/inbox, /api/panel/comments, /api/backup/export), permitiendo a atacantes con tokens limitados ejecutar operaciones administrativas. El gestor de exportación de respaldos descarta completamente la validación de metadatos, exponiendo datos sensibles de usuarios y configuraciones altas en infraestructuras de LATAM.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

Ech0 version 4.3.4 and earlier fails to reliably enforce scoped access token (least-privilege) restrictions on several privileged admin routes. Multiple privileged endpoints (e.g., /api/inbox, /api/panel/comments, /api/backup/export) omit scope checks and authorize based only on the user's admin role, and the backup export handler discards token scope metadata entirely. An attacker holding a deliberately limited (low-scope) admin access token can reach broader privileged functionality than intended, including reading the inbox and exporting a full database backup ZIP archive. Fixed in 4.4.3.

Puntuación CVSS

Score: 7.6/10 — Severidad: HIGH — Estado NIST: Received

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Debilidades (CWE)

CWE-285

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Actualizar Ech0 a versión posterior a 4.3.4 inmediatamente
  • Auditar logs de acceso a endpoints /api/backup/export, /api/panel/comments e /api/inbox para detectar abusos
  • Revocar tokens de acceso con alcance limitado emitidos antes del parche
  • Implementar validación de scopes en todas las rutas administrativas
  • Considerar WAF rules como mitigación temporal si no es posible actualizar de inmediato
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas