CVE-2026-89292 Exposición de claves de API por SSRF en Eclipse Mnestix Browser

Afectados

• Eclipse Foundation Eclipse Mnestix

  desde 1.6.0 hasta antes de 2.3.0

Qué hacer

1. Verificá la versión de Mnestix Browser. El registro de Eclipse delimita el rango afectado desde 1.6.0 hasta antes de 2.3.0.
2. Actualizá a 2.3.0 o a una versión posterior compatible. Si la instalación vulnerable estuvo expuesta, rotá las claves de API del backend y revisá su uso en los registros.

Fuente técnica: Eclipse Foundation · aviso de asignación CVE. También puede afectarte CVE-2026-89293, una falla distinta del mismo producto.

Calculadora CVSS

CVSS 4.0 · 9.2 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• Confidencialidad (sistema vulnerable)Alta
• Integridad (sistema vulnerable)Ninguna
• Disponibilidad (sistema vulnerable)Ninguna
• Confidencialidad (sistemas posteriores)Alta
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

In Eclipse Mnestix Browser versions 1.6.0 up until but excluding 2.3.0 it was possible for an unauthenticated attacker to exfiltrate the MNESTIX_BACKEND_API_KEY for all configured Infrastructures.

Referencias (2)

• gitlab.eclipse.org/security/vulnerability-reports/-/work_items/773
• gitlab.eclipse.org/security/cve-assignment/-/work_items/302

Contexto y recomendaciones de DUPIN a partir de las fuentes citadas. Fuente: Nureq Monitor. Cómo funciona.