CVE-2026-64945 Mapeo incorrecto de permisos permite ocultar o mostrar preguntas con solo el permiso unpin en Apache Answer

Qué es CVE-2026-64945

El controlador de operaciones de preguntas verifica el permiso unpin en lugar del permiso hide para las operaciones de ocultar y mostrar. En configuraciones de roles personalizados que separan estos permisos, un usuario con solo question.unpin puede ocultar o restaurar preguntas sin tener question.hide ni question.show. Afecta a Apache Answer hasta la versión 2.0.2; se corrige en la 2.0.3.

Productos y versiones afectadas

• Apache Software Foundation Apache Answer

  • hasta 2.0.2

Qué hacer

1. Verificá si usás Apache Answer y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

A vulnerability in Apache Answer. This issue affects Apache Answer: through 2.0.2. The question operation controller gates hide/show operations on the wrong permission check result (the unpin permission instead of the hide permission), so in custom role configurations that separate these permissions, a user granted only question.unpin can hide or restore questions without holding question.hide or question.show. Users are recommended to upgrade to version 2.0.3, which fixes the issue.

Referencias

• lists.apache.org/thread/3wdqq1vp449bty5ovs02f0894km07wmzVENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/16/24

Historial de la alerta

1. 19 OCT · 08:23VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.