‹ Volver al listado

CVE-2026-104252

Estado: Pendiente de análisisCrítica (9.8)—
Gravedad9.8Crítica · CVSS 3.1
Probabilidad de explotación0.89 %mayor que el 59 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Vitess es un sistema de agrupación de bases de datos para el escalado horizontal de MySQL. Antes de las versiones 23.0.5 y 24.0.2, twopczHandler en go/vt/vttablet/tabletserver/twopcz.go escribe los valores de formulario Action y dtid procedentes del endpoint de depuración HTTP /twopcz de vttablet y vtcombo en una respuesta text/html sin aplicar escape de HTML. Con la política ACL predeterminada de permitir todo, un atacante remoto no autenticado puede enviar a un operador una solicitud manipulada que ejecuta un script en el navegador del operador una vez que se abre la solicitud.

Leer descripción completaMostrar menos

El script se ejecuta con el origen de depuración de vttablet y puede leer los endpoints de diagnóstico del mismo origen que exponen datos de consultas, transacciones, entorno, variables o perfilado disponibles en ese despliegue. Este problema está corregido en las versiones 23.0.5 y 24.0.2.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.8
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.89 %
Percentil entre todas las CVEs puntuadas
59
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Inferido por reglas deterministas a partir del vector CVSS y la CWE. Solo orientativo.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningRestrict Web-Based ContentPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network Traffic

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Linuxfoundation — VitessAI

CWE

Referencias

Mostrar las 9 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-104252",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-104252",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T13:23:55.916133Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "vitessio",
          "product": "vitess",
          "versions": [
            {
              "status": "affected",
              "version": "< 23.0.5"
            },
            {
              "status": "affected",
              "version": ">= 24.0.0, < 24.0.2"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-13T20:17:12.453",
  "references": [
    {
      "url": "https://github.com/vitessio/vitess/commit/3140c1846cd120db34f33b2083139b4ab638aed2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/commit/976e1e0d78f9d29d02e5e31b4aa7e180648f08af",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/commit/c1ed96302e658190168c971afdac730cf70e43f7",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/pull/20255",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/pull/20273",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/pull/20274",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/releases/tag/v23.0.5",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/releases/tag/v24.0.2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitessio/vitess/security/advisories/GHSA-v75v-6fpf-gvw8",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Vitess is a database clustering system for horizontal scaling of MySQL. Prior to 23.0.5 and 24.0.2, twopczHandler in go/vt/vttablet/tabletserver/twopcz.go writes the Action and dtid form values from the vttablet and vtcombo /twopcz HTTP debug endpoint into a text/html response without HTML escaping. Under the default allow-all ACL policy, a remote unauthenticated attacker can send an operator a crafted request that executes script in the operator's browser after the request is opened. The script runs with the vttablet debug origin and can read same-origin diagnostic endpoints that expose query, transaction, environment, variable, or profiling data available in that deployment. This issue is fixed in versions 23.0.5 and 24.0.2."
    }
  ],
  "lastModified": "2026-10-16T16:00:33.533",
  "sourceIdentifier": "security-advisories@github.com"
}