CVE-2026-121821 Omisión de política CORS en Armeria
Las políticas CORS any-origin de Armeria no aplican las restricciones de ruta configuradas. Un sitio web controlado por un atacante, visitado por una víctima autenticada, puede leer respuestas sensibles de rutas excluidas cuando las credenciales están habilitadas y el navegador envía las credenciales de autenticación. Afecta a las versiones 0.84.0 a 1.42.0.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 25
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
LY Corporation Armeria
desde 0.84.0 hasta antes de 1.43.0
Qué hacer
- Verificá si usás Armeria y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
A vulnerability has been identified in armeria versions 0.84.0 through 1.42.0, where any-origin CORS policies do not enforce configured path restrictions, allowing an attacker-controlled website visited by an authenticated victim to read sensitive responses from excluded paths when credentials are enabled and the victim's browser sends authentication credentials.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.