CVE-2026-121817 Acceso indebido a datos de otras cuentas en Herowatch Go
TWCERT/CC describe una falla de autorización en el servidor de Herowatch Go que permite acceder a datos o funciones de otras cuentas. El aviso lista todas las versiones de la app.
CVSS 3.1
- CVSS 4.08.7 · alta
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 38
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
About Time Technologies Herowatch Go Server
all
Qué hacer
- Identificá los dispositivos que todavía usan Herowatch Go y las cuentas asociadas.
- Planificá el reemplazo por un dispositivo con soporte. TWCERT/CC informa que el producto dejó de mantenerse y recomienda sustituirlo.
Fuente técnica: TWCERT/CC · TVN-202611002.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Herowatch Go Server developed by About Time Technologies has a Insecure Direct Object Reference vulnerability. Authenticated remote attackers can modify specific parameters to access or operate other users' data and functions.
Referencias (2)
Contexto y recomendaciones de DUPIN a partir de las fuentes citadas. Fuente: Nureq Monitor. Cómo funciona.