CVE-2026-107914

Estado: Pendiente de análisisAlta (7.8)—

Backdrop CMS versiones 1.34 anteriores a 1.34.5 y 1.35 anteriores a 1.35.1 no protegen suficientemente las exportaciones de configuración al entregar un archivo comprimido. Esta vulnerabilidad se mitiga por el hecho de que una exportación debe haber sido solicitada previamente por alguien con el permiso "Sincronizar, importar y exportar configuración". NOTA: CVE-2026-107914 se refiere a la vulnerabilidad en la que config.admin.inc no garantiza que se produzca una operación file_unmanaged_delete. Por lo tanto, muchos archivos podrían persistir: config.tar.gz, config_0.tar.gz, config_1.tar.gz, etc. Existe un problema separado en config.module que podría permitir acceso remoto por parte de un usuario anónimo, pero solo para el nombre de archivo config.tar.gz.

Traducción automática del texto original de NVD (en inglés).

CVSS

Versión: 3.1
Vector: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Puntuación base: 7.8

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.12%
Percentil entre todas las CVEs puntuadas: 2
Fecha de la puntuación: 14/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1068 Exploitation for Privilege Escalationprivilege escalation75 %
Impacto principalT1005 Data from Local Systemcollection70 %
Impacto secundarioT1552 Unsecured Credentialscredential access65 %

AV:L sin UI requiere acceso local previo (T1068). CWE-497 expone datos sensibles en configuración; el atacante accede/lee datos protegidos tras escalar privilegios localmente.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Update Software Active Directory Configuration User Training Threat Intelligence Program Restrict File and Directory Permissions Privileged Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Backdropcms — Backdrop CMS^AI

CWE

CWE-459

Referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-107914",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107914",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T01:42:40.478342Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@mitre.org",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 7.8,
          "attackVector": "LOCAL",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.8,
        "exploitabilityScore": 1.4
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "backdropcms",
          "product": "Backdrop",
          "versions": [
            {
              "status": "affected",
              "version": "1.34.0",
              "lessThan": "1.34.5",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "1.35.0",
              "lessThan": "1.35.1",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unknown"
        }
      ]
    }
  ],
  "published": "2026-10-09T06:17:12.777",
  "references": [
    {
      "url": "https://backdropcms.org/security/backdrop-sa-core-2026-006",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/backdrop/backdrop/commit/1ae67061d9d487bb6cb3b8611191354052f34749",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/backdrop/backdrop/commit/347c8e558254633205f431ce5c12321a7ae9248e",
      "source": "cve@mitre.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@mitre.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-459"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Backdrop CMS 1.34 before 1.34.5 and 1.35 before 1.35.1 doesn't sufficiently protect configuration exports when delivering a compressed archive. This vulnerability is mitigated by the fact that an export must have been previously requested by someone with the \"Synchronize, import, and export configuration\" permission. NOTE: CVE-2026-107914 refers to the vulnerability in which config.admin.inc does not ensure that a file_unmanaged_delete operation occurs. Therefore, many archives could persist: config.tar.gz, config_0.tar.gz, config_1.tar.gz, etc. There is a separate config.module issue that could allow remote access by an anonymous user, but only for the one filename config.tar.gz."
    }
  ],
  "lastModified": "2026-10-14T02:16:59.037",
  "sourceIdentifier": "cve@mitre.org"
}