Vulnerabilidad de control de acceso inadecuado en Fullstep

La explotación exitosa de esta vulnerabilidad podría permitir a un atacante no autenticado acceder a recursos protegidos de la API de Fullstep. Al obtener un token JWT válido, el atacante podría realizar acciones en nombre de un usuario autenticado, potencialmente comprometiendo la confidencialidad de datos sensibles almacenados o procesados por la API. El alcance del impacto depende de los permisos asociados al token JWT obtenido y de la sensibilidad de los datos a los que se puede acceder a través de la API. Un escenario de ataque podría implicar la extracción de información de usuarios, la modificación de datos críticos o incluso la ejecución de acciones administrativas no autorizadas, dependiendo de la configuración de la API y los permisos del token. La falta de una validación adecuada del acceso a los recursos API es la raíz del problema.

Organizations utilizing Fullstep V5 in production environments, particularly those relying on its API for critical business functions, are at risk. Systems with weak API authentication policies or those lacking robust monitoring for suspicious JWT activity are especially vulnerable. Shared hosting environments where multiple users share the same Fullstep instance could also be affected.

1. 2026-04-22Disclosure

   disclosure

1. Reservado2026-04-07
2. Publicada2026-04-22
3. EPSS actualizado2026-04-30

La mitigación principal para el CVE-2026-5749 implica fortalecer el control de acceso a los recursos de la API de Fullstep. Se recomienda implementar una validación rigurosa de los tokens JWT antes de permitir el acceso a cualquier recurso. Esto incluye verificar la firma del token, la fecha de expiración y los permisos asociados. Además, es crucial restringir el acceso a los recursos API solo a usuarios autenticados y autorizados. Si la actualización a una versión corregida no es inmediatamente posible, se puede implementar una solución temporal mediante la configuración de un proxy inverso o una capa de seguridad que valide los tokens JWT antes de que lleguen a la API. Después de implementar las medidas de seguridad, es fundamental verificar su efectividad mediante pruebas de penetración y auditorías de seguridad.