CVE-2026-87689 Falta de autenticación en endpoints de credenciales de la REST API de Metasploit Framework Web Service

Qué es CVE-2026-87689

La REST API de Metasploit Framework Web Service (msf-ws) expone el almacén de credenciales mediante Msf::WebServices::CredentialServlet. Los manejadores update_credential (PUT) y delete_credentials (DELETE) de /api/v1/credentials omiten la llamada a warden.authenticate! y acceden directamente a lib/msf/core/db_manager/cred.rb, que no aplica autorización propia. Cualquier cliente que alcance el servicio en su listener por defecto 0.0.0.0:8080 puede leer, modificar o eliminar permanentemente todos los registros de…

Productos y versiones afectadas

• Rapid7 Metasploit Framework

  • hasta 6.5.4

Qué hacer

1. Verificá si usás Metasploit Framework y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet. Every mutating and read route in this servlet calls warden.authenticate! before processing a request, except the update_credential (PUT) and delete_credentials (DELETE) handlers for /api/v1/credentials, which omit the authentication call entirely. Because these handlers call directly into lib/msf/core/db_manager/cred.rb, which performs no authorization check of its own, any client able to reach the web service on its default 0.0.0.0:8080 listener can read, modify, or permanently delete every stored credential record — including passwords, hashes, and private keys stored for a shared team engagement — without presenting any authentication. All published versions of Metasploit Framework through 6.5.4 are affected. The issue is fixed in 6.5.5 by adding warden.authenticate! as the first statement in both handlers, matching the pattern used by every other route in the API.

Referencias

• github.com/rapid7/metasploit-framework/releases/tag/6.5.5RELEASE-NOTES · PATCH
• github.com/rapid7/metasploit-frameworkPRODUCT

Historial de la alerta

1. 12 OCT · 22:31VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.