CVE-2026-119710 Eliminación de conectores en la ruta de programación de PipesHub mediante inyección de tipo de evento
PipesHub 0.3.0 antes de 0.10.0 contiene una vulnerabilidad de inyección de tipo de evento que permite a usuarios autenticados con solo el alcance crawl:write eliminar conectores inyectando en el segmento :connector de la ruta. Un valor como web.delete enviado a la ruta de programación omite las comprobaciones de connector:delete y de bloqueo, eliminando instancias de conectores y purgando los embeddings de registros.
CVSS 3.1
- CVSS 4.07.1 · alta
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 36
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
pipeshub-ai
desde 0.3.0 hasta antes de 0.10.0
Qué hacer
- Verificá si usás pipeshub-ai y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.1 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadAlta
CVSS 4.0 · 7.1 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
PipesHub 0.3.0 before 0.10.0 contains an event type injection vulnerability that allows authenticated users with only the crawl:write scope to delete connectors by injecting into the :connector path segment. Attackers can send a :connector value like web.delete to the schedule route, bypassing connector:delete and lock checks to remove connector instances and purge record embeddings.
Referencias (6)
- github.com/pipeshub-ai/pipeshub-ai/security/advisories/GHSA-cwp5-6php-hrgx
- github.com/pipeshub-ai/pipeshub-ai/commit/967232f4cb0fc2d0da5ebc30990417a349d6c56a
- github.com/pipeshub-ai/pipeshub-ai/blob/v0.9.1/backend/nodejs/apps/src/modules/crawling_m…
- github.com/pipeshub-ai/pipeshub-ai/releases/tag/v0.10.0
- github.com/pipeshub-ai/pipeshub-ai
- www.vulncheck.com/advisories/pipeshub-0.3.0-before-0.10.0-connector-deletion-via-crawling…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.