Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en PDBM de Trac d.o.o. (CVE-2026-25600)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-798 Credenciales embebidas en el software
Fecha de publicación:
01/06/2026
Última modificación:
22/07/2026

Descripción

La aplicación PDBM se basa en un secreto estático, codificado de forma rígida e incrustado en el ejecutable PDBM.exe. Este secreto es utilizado por las rutinas de cifrado de la aplicación, incluyendo la función responsable de descifrar las credenciales almacenadas en el archivo de configuración del producto. Debido a que el secreto es constante en todas las instalaciones, cualquier atacante con privilegios locales suficientes puede extraerlo del binario. Una vez obtenido, el secreto permite al atacante descifrar la contraseña almacenada y autenticarse como el usuario definido en el archivo de configuración. En la versión afectada, esta cuenta de usuario está configurada con privilegios administrativos, otorgando acceso completo a la interfaz de gestión de PDBM y sus funciones operativas subyacentes.

Impacto

Vector 3.x
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.40 MEDIA
Vector: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x
6.40
Gravedad 3.x
MEDIA

Referencias a soluciones, herramientas e información