CVE-2026-121582 Evasión de autorización en el endpoint Record API de Umami
Una vulnerabilidad en Umami hasta 3.4.1 afecta una función desconocida del archivo src/app/api/record/route.ts del componente Record API Endpoint. La manipulación del argumento Website permite evadir la autorización y el ataque puede lanzarse de forma remota; el exploit se divulgó públicamente y el proveedor no respondió.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 32
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Umami
3.4.03.4.1
Qué hacer
- Verificá si usás Umami y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 6.5 MEDIA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
Descripción original
A vulnerability has been found in Umami up to 3.4.1. Impacted is an unknown function of the file src/app/api/record/route.ts of the component Record API Endpoint. Such manipulation of the argument Website leads to authorization bypass. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencias (7)
- vuldb.com/vuln/430425
- vuldb.com/vuln/430425/cti
- vuldb.com/cve/CVE-2026-121582
- vuldb.com/submit/1019998
- github.com/waterhunter2000-svg/vulnerability-reports
- github.com/umami-software/umami/security/advisories/GHSA-4cww-5p37-v8r2
- github.com/waterhunter2000-svg/vulnerability-reports/blob/main/02-umami-record-unauth-wri…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.