« Volver al listado

CVE-2026-107450

Estado: AplazadaMedia (5.4)—

En Stump hasta la 0.1.10, las mutaciones GraphQL updateSmartList y deleteSmartList (crates/graphql/src/mutation/smart_lists.rs) dependen únicamente del permiso compartido AccessSmartList y resuelven la lista objetivo con acceso Reader (sin comprobar el creador). Cualquier usuario autenticado con ese permiso puede sobrescribir, eliminar o apropiarse de la lista inteligente de otro usuario. (updateSmartList establece creatorId con la identidad del llamante y puede establecer la visibilidad en PRIVATE, dejando fuera al propietario original). NOTA: esto no está relacionado con el crate graphql de crates.io.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Acceso autenticado a servicios remotos (GraphQL) con PR:L sin validación de propiedad permite tomar control de listas ajenas. Impacto: secuestro de cuenta (T1078) y modificación de datos (T1565.001).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationVulnerability ScanningUser TrainingUser Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Stump — StumpAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107450",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107450",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T14:28:07.570884Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@mitre.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.4,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "LOW",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "repo": "https://github.com/stumpapp/stump",
          "vendor": "stumpapp",
          "modules": [
            "GraphQL smart list mutations"
          ],
          "product": "Stump",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "custom",
              "lessThanOrEqual": "0.1.10"
            }
          ],
          "programFiles": [
            "crates/graphql/src/mutation/smart_lists.rs"
          ],
          "defaultStatus": "unknown",
          "programRoutines": [
            {
              "name": "update_smart_list"
            },
            {
              "name": "delete_smart_list"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T05:17:04.477",
  "references": [
    {
      "url": "https://crates.io/crates/graphql",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/kashishtopi/stump-smartlist-bola",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/stumpapp/stump/blob/42a9918/crates/graphql/src/mutation/smart_lists.rs",
      "source": "cve@mitre.org"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@mitre.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Stump through 0.1.10, the updateSmartList and deleteSmartList GraphQL mutations (crates/graphql/src/mutation/smart_lists.rs) depend only on the shared AccessSmartList permission and resolve the target list at Reader access (lacking a creator check). Any authenticated user with that permission can overwrite, delete, or take over another user's smart list. (updateSmartList sets creatorId to the caller identity, and can set visibility to PRIVATE, locking out the original owner.) NOTE: this is unrelated to the graphql crate on crates.io."
    }
  ],
  "lastModified": "2026-10-08T21:35:53.890",
  "sourceIdentifier": "cve@mitre.org"
}