Vulnerabilidad en OliveTin (CVE-2026-28342)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

05/03/2026

Última modificación:

10/03/2026

Descripción

OliveTin da acceso a comandos shell predefinidos desde una interfaz web. Antes de la versión 3000.10.2, el endpoint de la API PasswordHash permite a usuarios no autenticados activar una asignación excesiva de memoria enviando solicitudes concurrentes de hash de contraseñas. Al emitir múltiples solicitudes paralelas, un atacante puede agotar la memoria disponible del contenedor, lo que lleva a la degradación del servicio o a una denegación de servicio (DoS) completa. El problema ocurre porque el endpoint realiza operaciones de hashing computacionalmente y de memoria intensivas sin limitación de solicitudes, requisitos de autenticación o límites de recursos. Este problema ha sido parcheado en la versión 3000.10.2.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto