CVE-2026-121581 Falsificación de petición del lado del servidor en el endpoint de prueba de proveedores de ArcReel
Una manipulación en /api/v1/providers/{id}/test, del componente Provider Test-Connection Endpoint, permite falsificación de petición del lado del servidor. La explotación remota es posible y el exploit fue divulgado públicamente. El proveedor no respondió al contacto.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 13
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ArcReel
0.32.00.33.00.34.0
Qué hacer
- Verificá si usás ArcReel y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 4.3 MEDIA
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
Descripción original
A vulnerability has been found in ArcReel 0.32.0/0.33.0/0.34.0. The impacted element is an unknown function of the file /api/v1/providers/{id}/test of the component Provider Test-Connection Endpoint. The manipulation leads to server-side request forgery. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencias (8)
- vuldb.com/vuln/430416
- vuldb.com/vuln/430416/cti
- vuldb.com/cve/CVE-2026-121581
- vuldb.com/submit/1019997
- github.com/waterhunter2000-svg/vulnerability-reports
- github.com/ArcReel/ArcReel/security/advisories/GHSA-hrr6-72vw-wgx5
- github.com/waterhunter2000-svg/vulnerability-reports/blob/main/06-arcreel-provider-test-s…
- github.com/ArcReel/ArcReel/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.