BackendAI Falta de Autenticación para Función Crítica

El impacto de esta vulnerabilidad es significativo. Un atacante puede explotarla para crear cuentas de usuario falsas y obtener acceso a información confidencial almacenada en BackendAI. Esto podría incluir datos de clientes, información financiera, secretos comerciales o cualquier otro dato sensible que BackendAI procese. La falta de autenticación significa que no se requiere ninguna credencial para crear estas cuentas, lo que facilita enormemente la explotación. El atacante podría utilizar estas cuentas para realizar acciones maliciosas, como la modificación o eliminación de datos, la suplantación de identidad de usuarios legítimos o el acceso a otros sistemas a través de BackendAI. La severidad CRÍTICA (9.8) indica un riesgo muy alto de explotación y un impacto potencialmente devastador.

Organizations utilizing BackendAI for data storage and processing, particularly those relying on the registration feature for access control, are at significant risk. Environments with legacy configurations or those that have disabled registration but still run vulnerable versions are especially susceptible to exploitation.

• python / server:

import requests
import json

url = "http://your-backendai-server/register"

data = {}

response = requests.post(url, json=data)

if response.status_code == 200:
    print("Potential vulnerability detected: Successful registration without authentication.")
else:
    print("Registration requires authentication.")

• generic web: Check for registration endpoints accessible without authentication. Use curl to test registration endpoints with empty or invalid data to see if accounts can be created.

curl -X POST -d '{}' http://your-backendai-server/register

1. 2025-06-09Disclosure

   disclosure

1. Reservado2025-06-09
2. Publicada2025-06-09
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-49652 es actualizar BackendAI a la versión 25.15.6 o superior. Si la actualización no es inmediatamente posible, se recomienda deshabilitar temporalmente la función de registro en BackendAI para evitar la creación de nuevas cuentas no autorizadas. Como medida adicional, se recomienda revisar cuidadosamente todas las cuentas de usuario existentes para identificar y eliminar cualquier cuenta sospechosa. Implementar una solución de Web Application Firewall (WAF) con reglas que detecten y bloqueen intentos de creación de cuentas no autorizadas puede proporcionar una capa adicional de protección. Monitorear los registros de acceso de BackendAI en busca de patrones inusuales de creación de cuentas también puede ayudar a detectar y responder a posibles ataques.