Vulnerabilidad en Axivion de Qt (CVE-2026-12593)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/07/2026
Última modificación:
25/10/2026
Descripción
La implementación de un endpoint de API de Dashboard interno y no documentado (POST /api/users/~/{user}/tokens) olvidó asegurar que una solicitud HTTP para crear un token de API para otro usuario tuviera permisos suficientes para hacerlo.<br />
<br />
La condición previa para una explotación exitosa era un usuario interno preexistente (con más privilegios que el atacante), que el atacante conociera su nombre de inicio de sesión y que el atacante pudiera autenticarse en el Dashboard a través de OAuth/OIDC. El atacante entonces habría tenido que falsificar una solicitud de API de creación de token en nombre del otro usuario y podría haberse autenticado y finalizado la creación del token con sus propias credenciales de OAuth/OIDC. En el peor de los casos, esto significaría que un atacante podría haberse convertido en Administrador del Dashboard y haber podido realizar todas las acciones administrativas si el usuario interno preexistente tenía privilegios administrativos. En combinación con una debilidad separada, esto podría haber llevado además a la ejecución de código en el sistema host que ejecuta el Dashboard con los privilegios del usuario del sistema operativo (OS-User) que ejecuta el servidor del Dashboard.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA