CVE-2026-89293 Acciones administrativas sin autorización en Eclipse Mnestix Browser

Afectados

• Eclipse Foundation Eclipse Mnestix

  desde 1.2.0 hasta antes de 2.3.0

Qué hacer

1. Actualizá Mnestix Browser a 2.3.0 o a una versión posterior compatible.
2. Si la instancia estuvo expuesta, compará las conexiones y los ajustes de infraestructura con una copia confiable. Revisá también los registros del generador AAS por operaciones inesperadas.

Fuente técnica: Eclipse Foundation · aviso de asignación CVE. También puede afectarte CVE-2026-89292, una falla distinta del mismo producto.

Calculadora CVSS

CVSS 4.0 · 8.8 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• Confidencialidad (sistema vulnerable)Baja
• Integridad (sistema vulnerable)Alta
• Disponibilidad (sistema vulnerable)Baja
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

In Eclipse Mnestix Browser versions 1.2.0 up until but excluding 2.3.0 it was possible for an unauthenticated attacker to perform actions that are only allowed to be executed by an authorized Mnestix user, like changing the Infrastructure settings or calling the connected and authenticated Mnestix AAS Generator backend.

Referencias (2)

• gitlab.eclipse.org/security/vulnerability-reports/-/work_items/772
• gitlab.eclipse.org/security/cve-assignment/-/work_items/301

Contexto y recomendaciones de DUPIN a partir de las fuentes citadas. Fuente: Nureq Monitor. Cómo funciona.