CVE-2026-111717 Falta de autorización en la API de versiones de skills de Arkon

Qué es CVE-2026-111717

Arkon hasta 0.9.2 no verifica la autorización en list_skill_versions, lo que permite a empleados autenticados leer metadatos de versiones de skills de otros departamentos eludiendo la comprobación can_access_skill. Con el permiso predeterminado skill:read, un atacante puede solicitar GET /api/skills/{slug}/versions de otra área y obtener números de versión, hashes, rutas de almacenamiento y changelogs.

Productos y versiones afectadas

• nduckmink arkon

  • hasta 0.9.2

Qué hacer

1. Verificá si usás arkon y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Arkon through 0.9.2 contains a missing authorization vulnerability in list_skill_versions that allows authenticated employees to read other departments' skill version metadata by bypassing the can_access_skill check. Attackers holding the default skill:read permission can request GET /api/skills/{slug}/versions for another department's skill to obtain version numbers, hashes, storage paths and changelogs.

Referencias

• hackmd.io/@hieuPenguinnn/arkon-wiki-graph-cross-department-idorTHIRD-PARTY-ADVISORY
• github.com/nduckmink/arkon/blob/v0.9.2/app/routers/skills.py#L427-L434TECHNICAL-DESCRIPTION
• github.com/nduckmink/arkon/blob/v0.9.2/app/routers/skills.py#L408-L425TECHNICAL-DESCRIPTION
• www.vulncheck.com/advisories/arkon-through-0.9.2-missing-authorization-via-skills-version…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 16 OCT · 15:14VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.