Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-108540 Inyección de comandos del sistema en OpenSpug Spug, ruta /exec/transfer

Una función no especificada del archivo /exec/transfer, del componente File Transfer, permite inyección de comandos del sistema. El ataque puede lanzarse de forma remota y el exploit es público. Afecta a OpenSpug Spug hasta las versiones 3.4.0/4.0.1; el proveedor no respondió.

Alerta de Nureq Monitor

Detectada 11 OCT · 04:40

CVSS 3.1

9.9CRÍTICA

CVSS 4.0

9.4 CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

1,7 % PERCENTIL 77

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-108540

Una función no especificada del archivo /exec/transfer, del componente File Transfer, permite inyección de comandos del sistema. El ataque puede lanzarse de forma remota y el exploit es público. Afecta a OpenSpug Spug hasta las versiones 3.4.0/4.0.1; el proveedor no respondió.

Productos y versiones afectadas

  • OpenSpug Spug

    • 3.0
    • 3.1
    • 3.2
    • 3.3
    • 3.4.0
    • 4.0.0
    • 4.0.1

Qué hacer

  1. Verificá si usás Spug y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.9 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta
MADUREZ DEL EXPLOIT (E)
Prueba de concepto
CONFIANZA DEL INFORME (RC)
Confirmada

CVSS 4.0 · 9.4 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Alta
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Alta
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Alta
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Alta
MADUREZ DEL EXPLOIT (E)
Prueba de concepto

CVSS 3.0 · 9.9 CRÍTICA

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta
MADUREZ DEL EXPLOIT (E)
Prueba de concepto
CONFIANZA DEL INFORME (RC)
Confirmada

Abrir la calculadora completa

Descripción original

A flaw has been found in OpenSpug Spug up to 3.4.0/4.0.1. This impacts an unknown function of the file /exec/transfer of the component File Transfer. Executing a manipulation can lead to os command injection. The attack may be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.