Omisión de autenticación en Stela de Diaple Networking
Stela, versiones anteriores a 1.60.1.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Stela de Diaple Networking, un software de gestión de eventos e instituciones. La vulnerabilidad ha sido descubierta por Xavi Márquez Gonzalez.
La puntuación base CVSS v4.0, el vector y el tipo de vulnerabilidad CWE son los siguientes:
CVE-2026-101287: CVSS v4.0: 9.3 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-565
Actualizar a la versión 1.60.1 o posterior.
CVE-2026-101287: vulnerabilidad de omisión de autenticación en Stela, versiones anteriores a 1.60.1, debida al uso de una cookie denominada authProcess sin validar su integridad. La aplicación almacena en ella el identificador de usuario (userId) y el estado del proceso de autenticación (validSteps), y confía en estos valores, modificables por el cliente, para completar el inicio de sesión.
Un atacante remoto, sin credenciales válidas ni interacción de otros usuarios, podría manipular la cookie para eludir las comprobaciones de autenticación y suplantar cualquier cuenta, incluida una con privilegios SUPER_ADMIN. Esto permitiría obtener un token JWT válido con privilegios administrativos y comprometer la confidencialidad e integridad de la aplicación.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-101287 | Crítica | No | Stela |
