Divulgación no autorizada de información en el servicio web de facturación de Copart Mié, 14/10/2026 - 09:05
Aviso
Recursos Afectados
Customer invoicing web service.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a servicio web de facturación de Copart, plataforma conecta a vendedores con compradores de todo el mundo. La vulnerabilidad ha sido descubierta por Mario Romeo Lázaro.A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:CVE-2026-14851: CVSS v4.0: 9.2 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-200
Identificador
INCIBE-2026-742
Solución
No hay solución reportada por el momento.
Detalle
CVE-2026-14851: vulnerabilidad relacionada con la exposición de información confidencial en la aplicación web de facturación a clientes, que expone información de identificación personal (PII) y datos financieros, incluidos nombres de clientes, direcciones, números de factura, información de pago y datos fiscales, a personas no autorizadas. El problema se debe a la falta de comprobaciones de autorización en el punto final encargado de servir los archivos PDF de las facturas. Además, algunas URL de documentos de facturación parecen ser accesibles públicamente a través de los motores de búsqueda, lo que deja al descubierto rutas de archivos confidenciales. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante acceder a datos a los que no debería tener acceso, así como predecir identificadores para acceder a información aún más confidencial.
5 - Crítica
Listado de referencias
Web Copart
Etiquetas
0day
CNA
Confidencialidad
Información personal
+
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-14851
Crítica
No
COPART