CVE-2026-42016 Escalada de privilegios en JFrog Artifactory por validación incorrecta del token de usuario

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 11 de septiembre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 25 de septiembre de 2026. Corregirla es prioritario.

Afectados

• jfrog artifactory

  hasta antes de 7.133.11

Qué hacer

1. Verificá si usás artifactory y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
4. Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dylvie/CVE-2026-42016_CVE-2026-42018 ↗CVE-2026-42018 / CVE-2026-42016 — JFrog Artifactory Token Chain (Scoped PoC)08 NOV · 04:44

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosBajos
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadNinguna

Descripción original

JFrog Artifactory (Self Hosted) versions before 7.133.11 are vulnerable to a privilege escalation attack due to a validation check of the token signature/issuer and not the token’s scope.

Referencias (4)

• docs.jfrog.com/releases/docs/jfrog-security-advisories
• docs.jfrog.com/releases/docs/artifactory-self-managed-releases
• www.wiz.io/blog/artifactory-under-attack-in-the-wild-exploitation-of-cve-2026-42016-cve-2…
• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42016

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.