CVE-2026-42018 Exposición de token de usuario anónimo en JFrog Artifactory

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 11 de septiembre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 25 de septiembre de 2026. Corregirla es prioritario.

Afectados

• jfrog artifactory

  hasta antes de 7.111.20desde 7.117.0 hasta antes de 7.117.27desde 7.125.0 hasta antes de 7.125.19desde 7.133.0 hasta antes de 7.133.28desde 7.146.0 hasta antes de 7.146.8

Qué hacer

1. Verificá si usás artifactory y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
4. Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dylvie/CVE-2026-42016_CVE-2026-42018 ↗CVE-2026-42018 / CVE-2026-42016 — JFrog Artifactory Token Chain (Scoped PoC)08 NOV · 04:44

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadNinguna
• DisponibilidadNinguna

Descripción original

JFrog Artifactory could return an internal anonymous-user token to an unauthenticated caller when anonymous access is disabled, potentially exposing sensitive resources.

Referencias (4)

• docs.jfrog.com/releases/docs/jfrog-security-advisories
• docs.jfrog.com/releases/docs/artifactory-self-managed-releases
• www.wiz.io/blog/artifactory-under-attack-in-the-wild-exploitation-of-cve-2026-42016-cve-2…
• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42018

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.