VULNERABILIDAD
CVE-2026-112047 Autorización incorrecta en OneUptime permite operar sobre clústeres fuera del alcance
OneUptime 14.0.2 antes de 14.0.69 tiene una falla de autorización incorrecta que permite a miembros autenticados de un proyecto actuar sobre clústeres fuera de su alcance por controles de permisos a nivel de proyecto. Los atacantes pueden usar las funciones de prueba de acceso de IA, reinicio de agentes, aprobación de planes kubectl y conversación de incidentes con IA para conocer permisos RBAC del agente, desconectar agentes, aprobar cambios de kubectl o ejecutar comandos en recursos no autorizados. Corrige…
Alerta de Nureq Monitor
Detectada 18 OCT · 12:20
CVSS 3.1
5.4MEDIACVSS 4.0
5.3 MEDIA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 7
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-112047
OneUptime 14.0.2 antes de 14.0.69 tiene una falla de autorización incorrecta que permite a miembros autenticados de un proyecto actuar sobre clústeres fuera de su alcance por controles de permisos a nivel de proyecto. Los atacantes pueden usar las funciones de prueba de acceso de IA, reinicio de agentes, aprobación de planes kubectl y conversación de incidentes con IA para conocer permisos RBAC del agente, desconectar agentes, aprobar cambios de kubectl o ejecutar comandos en recursos no autorizados. Corrige…
Productos y versiones afectadas
OneUptime oneuptime
Qué hacer
- Verificá si usás oneuptime y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Baja
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Baja
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
OneUptime 14.0.2 before 14.0.69 contains an incorrect authorization vulnerability that allows authenticated project members to act on clusters outside their scope by exploiting project-wide permission checks. Attackers can call the AI access test, agent reset, kubectl plan approval and incident AI conversation features to learn agent RBAC permissions, disconnect agents, approve kubectl changes, or run commands on unauthorized resources.
Referencias
- github.com/OneUptime/oneuptime/security/advisories/GHSA-8fph-9j9f-xxgcVENDOR-ADVISORY
- github.com/OneUptime/oneuptime/commit/264e1ba13149cbd4c80cb22f2177b405886b0452PATCH
- github.com/OneUptime/oneuptime/releases/tag/14.0.69RELEASE-NOTES
- github.com/OneUptime/oneuptime/blob/14.0.68/packages/Common/Server/API/KubernetesClusterA…TECHNICAL-DESCRIPTION
- www.vulncheck.com/advisories/oneuptime-14.0.2-before-14.0.69-incorrect-authorization-in-k…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.