CVE-2026-120185 Gestión inadecuada de privilegios en ken678 YznCMS, componente Auth Group
Una falla en la función Backend del archivo app/admin/controller/auth/Group.php del componente Auth Group Handler permite una gestión inadecuada de privilegios. El ataque puede iniciarse de forma remota. Se corrige al actualizar a la versión 2.2.1.
CVSS 3.1
- CVSS 4.05.1 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 13
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ken678 YznCMS
2.02.12.2.0
Qué hacer
- Verificá si usás YznCMS y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.7 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 5.1 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
CVSS 3.0 · 4.7 MEDIA
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A security flaw has been discovered in ken678 YznCMS up to 2.2.0. The affected element is the function Backend of the file app/admin/controller/auth/Group.php of the component Auth Group Handler. Performing a manipulation results in improper privilege management. The attack can be initiated remotely. Upgrading to version 2.2.1 is sufficient to fix this issue. The patch is named ed16cd7f7f73e0316ffa8a148d. You should upgrade the affected component.
Referencias (7)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.