‹ Volver al listado

CVE-2026-61729

Crítica (9.4)—
Planificar el parcheGravedad Crítica 9.4. Sin exploit público ni explotación activa conocidos.
Parche· github.com/socfortress/CoPilot/commit/1b2c3f97243988301285b395c…
Gravedad9.4Crítica · CVSS 3.1
Probabilidad de explotación0.38 %mayor que el 32 % de las CVE · dato del 11 nov 2026
Explotación activaNono figura en el catálogo de CISA · comprobado 12 nov, 04:00
Exploit públicoNo conocidosin código público localizado

Noticias y reportajes en Orbitaley

SOCFortress CoPilot se centra en ofrecer una vista unificada de todas sus necesidades de operaciones de seguridad. Antes de la versión 0.1.76, `verify_graylog_header` en `backend/app/active_response/routes/graylog.py` y `verify_velociraptor_header` en `backend/app/incidents/routes/incident_alert.py` autenticaban los webhooks frente a `GRAYLOG_API_HEADER_VALUE` y `VELOCIRAPTOR_API_HEADER_VALUE` con el mismo valor predeterminado codificado de forma pública. El mismo valor predeterminado se incluye en `.env.example`.

Leer descripción completaMostrar menos

Los despliegues que dejan cualquiera de estos ajustes sin definir o sin cambiar permiten que un llamante anónimo que conozca el valor de la cabecera eluda la autenticación JWT requerida por las API habituales. `POST /api/graylog/invoke` reenvía los valores de `COMMAND`, `ACTION`, `VALUE` y `AGENT_ID` elegidos por el atacante al gestor de Wazuh configurado, sin la validación mediante enumeración de comandos de la ruta de invocación autenticada, lo que permite que los scripts de respuesta activa interrumpan endpoints y manipulen los controles defensivos. `POST /api/incidents/alerts/create/threshold` y `POST /api/incidents/alerts/create/velo-sigma` aceptan alertas falsificadas para valores arbitrarios de `customer_code` y ejecutan consultas de OpenSearch controladas por el atacante. La entrega de respuesta activa requiere un gestor de Wazuh configurado y accesible. Los despliegues con secretos de cabecera modificados de forma independiente no están expuestos a este bypass por valor predeterminado. Este fallo está corregido en la versión 0.1.76.

Traducción automática del texto original de NVD (en inglés).

Cronología

Elaborada con nuestros propios datos: NVD, CISA KEV y otros catálogos de explotación, FIRST EPSS, exploits públicos, prensa especializada y la cobertura de Orbitaley.

  1. Registro CVE publicado en NVD
  2. Alerta: SOCFortress CoPilot corrige cuatro vulnerabilidades críticas que exponen credenciales y permiten manipular la plataforma
  3. Última modificación del registro en NVD

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Inferido por reglas deterministas a partir del vector CVSS y la CWE. Solo orientativo.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementPassword PoliciesMulti-factor AuthenticationApplication Developer GuidanceActive Directory ConfigurationVulnerability Scanning

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Microsoft — CopilotAI

Registro NVD

Estado en NVD
Aplazada
Publicada
30 oct 2026
Última modificación
5 nov 2026
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
Debilidad (CWE)
CWE-306, CWE-798

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-61729",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-61729",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-11-05T21:36:11.291669Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.4,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 5.5,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "socfortress",
          "product": "CoPilot",
          "versions": [
            {
              "status": "affected",
              "version": "< 0.1.76"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-30T15:16:53.083",
  "references": [
    {
      "url": "https://github.com/socfortress/CoPilot/commit/1b2c3f97243988301285b395ce4239769c66bd9e",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/socfortress/CoPilot/pull/939",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/socfortress/CoPilot/security/advisories/GHSA-x8gc-f8p4-frc2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/socfortress/CoPilot/tree/v0.1.76",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/socfortress/CoPilot/security/advisories/GHSA-x8gc-f8p4-frc2",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-306"
        },
        {
          "lang": "en",
          "value": "CWE-798"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.76, `verify_graylog_header` in `backend/app/active_response/routes/graylog.py` and `verify_velociraptor_header` in `backend/app/incidents/routes/incident_alert.py` authenticate webhooks against `GRAYLOG_API_HEADER_VALUE` and `VELOCIRAPTOR_API_HEADER_VALUE` with the same publicly hardcoded fallback. The same default is shipped in `.env.example`. Deployments that leave either setting unset or unchanged permit an anonymous caller with the known header value to bypass the JWT authentication required by normal APIs. `POST /api/graylog/invoke` forwards attacker-selected `COMMAND`, `ACTION`, `VALUE` and `AGENT_ID` to the configured Wazuh manager without the command-enum validation of the authenticated invocation route, allowing active-response scripts to disrupt endpoints and manipulate defensive controls. `POST /api/incidents/alerts/create/threshold` and `POST /api/incidents/alerts/create/velo-sigma` accept forged alerts for arbitrary `customer_code` values and drive attacker-controlled OpenSearch queries. Active-response delivery requires a configured reachable Wazuh manager. Deployments with independently changed header secrets are not subject to this default-secret bypass. This issue is fixed in version 0.1.76."
    }
  ],
  "lastModified": "2026-11-05T22:18:50.773",
  "sourceIdentifier": "security-advisories@github.com"
}