VULNERABILIDAD

CVE-2026-114119 Credencial administrativa de SQL Server codificada en Bp Premier

Best Practice Software Bp Premier antes de 1.14.1.1128 usa una contraseña administrativa de Microsoft SQL Server codificada que es compartida entre todas las instalaciones y no puede cambiarse sin romper la aplicación. Atacantes con acceso de red a la instancia de base de datos pueden autenticarse como sysadmin, eludir la autenticación de la aplicación y ejecutar comandos del sistema operativo como SYSTEM.

Alerta de Nureq Monitor

Detectada 20 OCT · 22:52

CVSS 3.1

9.8CRÍTICA

CVSS 4.0

9.3 CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 36

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-114119

Productos y versiones afectadas

Best Practice Software Bp Premier
- hasta antes de 1.14.1.1128

Qué hacer

Verificá si usás Bp Premier y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

CVSS 4.0 · 9.3 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Alta
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Best Practice Software Bp Premier before 1.14.1.1128 uses a hardcoded Microsoft SQL Server administrative password that is shared across all installations and cannot be changed without breaking the application. Attackers with network access to the database instance can authenticate as sysadmin, bypass application authentication, and execute operating system commands as SYSTEM.

Referencias

kb.bestpracticesoftware.com/bppremier/oxford/WhatsNew/BpPremier_OxfordSP1_ReleaseNotes.htmRELEASE-NOTES · PATCH
def.ci-isac.org.au/vuln/records/GCVE-123-2026-0001.jsonTHIRD-PARTY-ADVISORY
www.vulncheck.com/advisories/best-practice-software-bp-premier-before-1.14.1.1128-hardcod…THIRD-PARTY-ADVISORY

Historial de la alerta

20 OCT · 22:52VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.