‹ Volver al listado

CVE-2026-54086

Estado: Pendiente de análisisMedia (5.3)—
Gravedad5.3Media · CVSS 3.1
Probabilidad de explotación0.48 %mayor que el 40 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

SLE API for Java es una implementación de los Servicios de Extensión de Enlace Espacial (SLE) de CCSDS. Antes de la versión 5.1.7, la ruta de gestión de PDU ISP1 decodifica una longitud del cuerpo controlada por el atacante y reserva un array de bytes sin límite superior, mientras que una entrada malformada o truncada también puede interrumpir las lecturas de forma inesperada, lo que permite a un cliente no autenticado del servicio de escucha SLE provocar excepciones, fugas de recursos y denegación de servicio. Este problema se ha corregido en la versión 5.1.7.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.48 %
Percentil entre todas las CVEs puntuadas
40
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N y descripción: un cliente no autenticado del servicio SLE provoca denegación de servicio mediante asignación sin límite y lecturas truncadas.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

SLE API FOR Java Project — SLE API FOR JavaAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-54086",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-54086",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-16T22:26:56.654769Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "LOW",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "esa",
          "product": "sleapi-j",
          "versions": [
            {
              "status": "affected",
              "version": "< 5.1.7"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-13T19:18:52.543",
  "references": [
    {
      "url": "https://github.com/esa/sleapi-j/commit/265118dfb70d1d0d991b085dcde4028c60bce4fc",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/esa/sleapi-j/releases/tag/5.1.7",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/esa/sleapi-j/security/advisories/GHSA-6g75-jwgj-hj8v",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-770"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "SLE API for Java is an implementation of CCSDS Space Link Extension Services. Prior to 5.1.7, the ISP1 PDU handling path decodes an attacker-controlled body length and allocates a byte array without an upper bound, while malformed or truncated input can also terminate reads unexpectedly, allowing an unauthenticated client of the SLE listening service to trigger exceptions, resource leakage, and denial of service. This issue is fixed in version 5.1.7."
    }
  ],
  "lastModified": "2026-10-16T23:17:01.997",
  "sourceIdentifier": "security-advisories@github.com"
}