CVE-2026-71854 Acceso sin autenticación y falta de autorización a nivel de objeto en la API de lecciones de OpenAEV

Qué es CVE-2026-71854

En una instalación por defecto, los endpoints de lecciones /api/player/** pueden llamarse sin autenticación y confían en el parámetro userId enviado por el cliente sin verificar que el llamante sea ese usuario o miembro del ejercicio. Un cliente no autenticado que conozca el UUID de un ejercicio puede leer preguntas y respuestas de lecciones aprendidas, incluida la identidad de cada autor, y crear o sobrescribir respuestas atribuidas a un usuario arbitrario. Corregido en 2.260622.0.

Productos y versiones afectadas

• OpenAEV-Platform openaev

  • < 2.260622.0

Qué hacer

1. Verificá si usás openaev y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

OpenAEV is an open source platform allowing organizations to plan, schedule and conduct cyber adversary simulation campaign and tests. Prior to version 2.260622.0, on a default installation, the `/api/player/**` lessons endpoints can be called without authentication, and they trust a client-supplied `userId` query parameter without verifying that the caller is that user or a member of the exercise. An unauthenticated client that knows an exercise UUID can read lessons-learned questions and answers (including each answer's author identity) and create or overwrite answers attributed to an arbitrary user. Version 2.260622.0 contains a patch.

Referencias

• github.com/OpenAEV-Platform/openaev/security/advisories/GHSA-47wr-wp4h-8v3fX_REFSOURCE_CONFIRM

Historial de la alerta

1. 14 OCT · 18:53VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.