Recuperación insegura de contraseñas en Building Cloud Services de WAGO
Building Cloud Services, versiones desde 7.19 y anteriores a 7.36.156.
James Paremain ha informado sobre una vulnerabilidad de severidad crítica en Keycloak que afecta a Building Cloud Services de WAGO. WAGO, en coordinación con CERT@VDE, ha publicado su afectación. Un atacante sin autenticar podría restablecer contraseñas sin completar la verificación del correo electrónico y tomar el control de cuentas de usuario.
WAGO aplicó la corrección el 26/08/2026 en la versión 7.36.156. El servicio se gestiona y actualiza de forma centralizada, por lo que los clientes no necesitan instalar ninguna actualización.
Revisar la actividad de las cuentas y comprobar si hubo cambios de contraseña inesperados anteriores a la corrección, siguiendo las recomendaciones de WAGO.
CVE-2026-18963: un mecanismo débil de recuperación de contraseñas en el flujo de restablecimiento de credenciales de keycloak-services permite omitir el enlace de verificación enviado por correo electrónico y establecer nuevas credenciales para otra cuenta. El atacante podría acceder a los recursos con los permisos del usuario afectado.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-18963 | Crítica | No | WAGO |
