Vulnerabilidad en Velociraptor de Rapid7 (CVE-2026-18860)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

11/08/2026

Última modificación:

23/10/2026

Descripción

Velociraptor permite despliegues multi-inquilino denominados ’Orgs’. Por defecto, Velociraptor utiliza la org ROOT, pero los usuarios pueden crear orgs secundarias para otros inquilinos dentro del mismo despliegue. Los usuarios pueden tener diferentes permisos en cada org. Para gestionar Orgs, Velociraptor normalmente examina el permiso ORG_ADMIN en la org ROOT. Este problema se debe a que el servidor de Velociraptor permite la eliminación de Orgs al verificar incorrectamente el permiso ORG_ADMIN de los llamantes dentro de la ORG llamante en lugar de la org ROOT. Sin embargo, los administradores de Org de orgs secundarias pudieron añadir este permiso a su token ACL dentro de su propia org. Esto permite a un administrador en una org secundaria, que no es también un administrador en la org ROOT, eliminar otras orgs.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.70 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.70

Gravedad 3.x

ALTA

Vulnerabilidad en Velociraptor de Rapid7 (CVE-2026-18860)

Descripción

Impacto

Referencias a soluciones, herramientas e información