CVE-2026-113620

Estado: RecibidaCrítica (9.8)—

Gravedad9.8Crítica · CVSS 3.1

Probabilidad de explotación—en los próximos 30 días

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

En Eclipse ioFog Controller, versiones 3.8.0 hasta 3.9.1, las actualizaciones a WebSocket del operador en las rutas de exec y de log no verifican el JWT de portador. El payload se decodifica y sus grupos o roles se usan como sujetos de RBAC. Un token autogenerado cuyos grupos contengan admin coincide con el rol admin integrado, sin necesidad de cuenta ni de RoleBinding. El atacante puede abrir una sesión de exec o de log para un microservicio o un fog cuyo UUID ya conozca. Las rutas HTTP no se ven afectadas: verifican el token antes de RBAC. Los WebSocket de los agentes verifican el token del fog y no se ven afectados.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 9.8
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1190 Exploit Public-Facing Applicationinitial access95 %
Impacto principalT1059 Command and Scripting Interpreterexecution75 %
Impacto secundarioT1606 Forge Web Credentialscredential access70 %

Vector AV:N/PR:N/UI:N y el texto indica que los WebSocket exec/log no verifican el JWT; un token autofirmado con grupo admin abre sesiones exec sin cuenta.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account Management Audit Vulnerability Scanning User Account Management Restrict Web-Based Content Network Segmentation

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Eclipse — Iofog Controller^AI

CWE

CWE-347

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-113620",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-113620",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-20T15:33:00.399123Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "emo@eclipse.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "emo@eclipse.org",
      "affectedData": [
        {
          "vendor": "Eclipse Foundation",
          "product": "Eclipse ioFog",
          "versions": [
            {
              "status": "affected",
              "version": "3.8.0",
              "versionType": "semver",
              "lessThanOrEqual": "3.9.1"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-20T13:16:41.610",
  "references": [
    {
      "url": "https://gitlab.eclipse.org/security/cve-assignment/-/work_items/468",
      "source": "emo@eclipse.org"
    },
    {
      "url": "https://gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1267",
      "source": "emo@eclipse.org"
    },
    {
      "url": "https://gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1269",
      "source": "emo@eclipse.org"
    },
    {
      "url": "https://gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1270",
      "source": "emo@eclipse.org"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "emo@eclipse.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-347"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Eclipse ioFog Controller versions 3.8.0 through 3.9.1, operator WebSocket upgrades on the exec and log routes do not verify the bearer JWT. The payload is decoded and its groups or roles are used as RBAC subjects. A self-minted token whose groups contain admin matches the built-in admin role, with no account and no RoleBinding. The attacker can open an exec or log session for a microservice or fog whose UUID they already know. HTTP routes are not affected: they verify the token before RBAC. Agent WebSockets verify the fog token and are not affected."
    }
  ],
  "lastModified": "2026-10-20T16:17:12.180",
  "sourceIdentifier": "emo@eclipse.org"
}