Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 00:44

CVE-2026-110907 Exposición de información en el navegador de tokens de Backdrop CMS

Backdrop CMS Core 1.35.x anterior a 1.35.2 y 1.34.x anterior a 1.34.6 no limita suficientemente el acceso a los tipos de tokens disponibles en el navegador de tokens. Los nombres de los tokens individuales están adecuadamente protegidos.

7.5ALTA

CVSS 3.1

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • BackdropCMS Backdrop

    desde 1.35.0 hasta antes de 1.35.2desde 1.34.0 hasta antes de 1.34.6

Qué hacer

  1. Verificá si usás Backdrop y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

Backdrop CMS Core 1.35.x before 1.35.2 and 1.34.x before 1.34.6 mishandles tokens. A token is a small placeholder string (like [node:title] or [user:name]) used to automatically insert dynamic data into text. A browser is provided for selecting tokens by type. The product doesn't sufficiently limit access to the types of tokens that are available in the token browser. The names of the individual tokens are adequately protected.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.