Múltiples vulnerabilidades en Fullstep
Fullstep, versión 5.
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad crítica, que afectan al proceso de registro de Fullstep, una consultoría empresarial. Las vulnerabilidades han sido descubiertas por Alejandro Rivera León.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-5749: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-284
- CVE-2026-5750: CVSS v4.0: 7.6 | CVSS AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-639
Las vulnerabilidades han sido solucionadas por el equipo de Fullstep en la versión 5.30.07, disponible en producción desde el 29/01/2026, por lo que actualmente no suponen ningún riesgo para el entorno.
- CVE-2026-5749: control de acceso inadecuado en proceso de registro en Fullstep V5, cuya explotación podría permitir a usuarios no autenticados obtener un token JWT válido con el que interactuar con recursos API autenticados. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante no autenticado comprometer la confidencialidad del recurso afectado, siempre que disponga de un token válido con el que interactuar con la API.
- CVE-2026-5750: referencia directa insegura a objetos (IDOR) en proceso de registro de Fullstep V5, permite a los usuarios autenticados acceder a datos que pertenecen a otros usuarios registrados a través de diversos recursos autenticados vulnerables en la aplicación. Los endpoints vulnerables son el resultado de:
- '/api/suppliers/v1/suppliers/<ID>/false' para enumerar la información del usuario.
'/#/supplier-registration/supplier-registration/<ID>/2' para modificar la información del usuario (datos personales, documentos, etc.).
La explotación exitosa de esta vulnerabilidad podría permitir a un usuario autenticado comprometer la confidencialidad e integridad del recurso afectado.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-5749 | Alta | No | Fullstep |
| CVE-2026-5750 | Alta | No | Fullstep |
