VULNERABILIDAD

CVE-2026-109379 Enumeración de cuentas en Cockpit CMS por discrepancia de tiempo en /auth/check

Una discrepancia de tiempo observable en /auth/check de Cockpit CMS 2.14.1 permite a atacantes no autenticados enumerar cuentas: las cuentas existentes realizan dos operaciones bcrypt en lugar de una, revelando nombres de usuario y direcciones de correo válidos.

Alerta de Nureq Monitor

Detectada 12 OCT · 18:20

CVSS 3.1

5.3MEDIA

CVSS 4.0

6.9 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 27

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-109379

Productos y versiones afectadas

cockpit-hq cockpit
- desde 2.14.1 hasta 2.14.1

Qué hacer

Verificá si usás cockpit y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Baja
INTEGRIDAD (I): Ninguna
DISPONIBILIDAD (A): Ninguna

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Cockpit CMS 2.14.1 contains an observable timing discrepancy vulnerability that allows unauthenticated attackers to enumerate accounts due to an incomplete timing fix in /auth/check. Attackers can post login attempts and measure response times, since existing accounts incur two bcrypt operations versus one, revealing valid usernames and email addresses.

Referencias

github.com/Cockpit-HQ/Cockpit/issues/328ISSUE-TRACKING
github.com/Cockpit-HQ/Cockpit/blob/2.14.1/modules/App/Controller/Auth.phpTECHNICAL-DESCRIPTION
github.com/Cockpit-HQ/Cockpit/blob/2.14.1/modules/App/Helper/Auth.phpTECHNICAL-DESCRIPTION
github.com/Cockpit-HQ/Cockpit/commit/5d65ae7b63a261a63e8809e5fba857ef3eadb2acRELATED · PATCH
github.com/Cockpit-HQ/CockpitPRODUCT
www.vulncheck.com/advisories/cockpit-cms-2.14.1-account-enumeration-via-timing-discrepanc…THIRD-PARTY-ADVISORY

Historial de la alerta

12 OCT · 18:20VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.