Omisión de autenticación en Stela de Diaple Networking Jue, 15/10/2026 - 09:59
Aviso
Recursos Afectados
Stela, versiones anteriores a 1.60.1.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Stela de Diaple Networking, un software de gestión de eventos e instituciones. La vulnerabilidad ha sido descubierta por Xavi Márquez Gonzalez.La puntuación base CVSS v4.0, el vector y el tipo de vulnerabilidad CWE son los siguientes:CVE-2026-101287: CVSS v4.0: 9.3 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-565
Identificador
INCIBE-2026-747
Solución
Actualizar a la versión 1.60.1 o posterior.
Detalle
CVE-2026-101287: vulnerabilidad de omisión de autenticación en Stela, versiones anteriores a 1.60.1, debida al uso de una cookie denominada authProcess sin validar su integridad. La aplicación almacena en ella el identificador de usuario (userId) y el estado del proceso de autenticación (validSteps), y confía en estos valores, modificables por el cliente, para completar el inicio de sesión.Un atacante remoto, sin credenciales válidas ni interacción de otros usuarios, podría manipular la cookie para eludir las comprobaciones de autenticación y suplantar cualquier cuenta, incluida una con privilegios SUPER_ADMIN. Esto permitiría obtener un token JWT válido con privilegios administrativos y comprometer la confidencialidad e integridad de la aplicación.
5 - Crítica
Listado de referencias
Stela - Gestión de eventos
Diaple Networking
Etiquetas
0day
Actualización
Autenticación
CNA
+
Control de acceso
Software
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-101287
Crítica
No
Stela