CVE-2026-108089 Acceso no autenticado a interfaces de diagnóstico en Apache Cocoon

Qué es CVE-2026-108089

Un usuario no autenticado puede acceder a interfaces de diagnóstico, incluida la activación de la caché y la exposición de registros de depuración detallados e información de perfil. Afecta a todas las versiones de Apache Cocoon; el proyecto está retirado y no se publicará una corrección, por lo que se recomienda migrar o restringir el acceso a usuarios de confianza.

Productos y versiones afectadas

• Apache Software Foundation Apache Cocoon

  • 0

Qué hacer

1. Verificá si usás Apache Cocoon y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

** UNSUPPORTED WHEN ASSIGNED ** Exposure of sensitive system information to an unauthorized control sphere vulnerability in Apache Cocoon. An unauthenticated user could gain access to diagnostic interfaces, including triggering of cache, exposure of (verbose) debug logging and profile information. This issue affects Apache Cocoon: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

Referencias

• lists.apache.org/thread/fo6wh59zg4zmsnt3ohpc8pblyotn4zw7VENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/20/5

Historial de la alerta

1. 20 OCT · 08:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.