CVE-2026-115333 Autenticación incorrecta en la API de ingesta de eventos de Lotus por prefijo de clave

Qué es CVE-2026-115333

Lotus hasta 0.10.2 contiene una vulnerabilidad de autenticación incorrecta en el middleware de ingesta de eventos en Go que valida las claves de API solo por prefijo, sin comparar el secreto con el hashed_key almacenado. Quien conozca o consiga un prefijo de clave de API puede enviar eventos de uso a POST /api/track/ como esa organización, alterando su uso medido y facturación.

Productos y versiones afectadas

• uselotus lotus

  • hasta 0.10.2

Qué hacer

1. Verificá si usás lotus y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.9 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Lotus through 0.10.2 contains an improper authentication vulnerability in the Go event ingestion middleware that validates API keys by prefix only, without checking the secret against the stored hashed_key. Attackers who know or obtain an API key prefix can submit usage events to POST /api/track/ as that organization, altering its metered usage and billing.

Referencias

• hackmd.io/@leediay/BkUc3WL2MxTECHNICAL-DESCRIPTION
• github.com/uselotus/lotus/blob/0.10.2/go/event-ingestion/authn/authn.go#L85-L95TECHNICAL-DESCRIPTION
• github.com/uselotus/lotusPRODUCT
• www.vulncheck.com/advisories/lotus-through-0.10.2-improper-authentication-via-event-inges…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 22 OCT · 10:00VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.