Vulnerabilidad en Cloudflare (CVE-2026-2836)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-345
Verificación insuficiente de autenticidad de los datos
Fecha de publicación:
05/03/2026
Última modificación:
12/03/2026
Descripción
Se ha encontrado una vulnerabilidad de envenenamiento de caché en la construcción predeterminada de clave de caché del framework de proxy HTTP Pingora. El problema ocurre porque la implementación predeterminada de clave de caché HTTP genera claves de caché usando solo la ruta URI, excluyendo factores críticos como el encabezado de host (autoridad). Los operadores que dependen del valor predeterminado son vulnerables al envenenamiento de caché, y las respuestas de origen cruzado pueden ser servidas incorrectamente a los usuarios.<br />
<br />
Impacto<br />
<br />
Esta vulnerabilidad afecta a los usuarios de la característica de almacenamiento en caché de proxy alfa de Pingora que dependían de la implementación predeterminada de CacheKey. Un atacante podría explotar esto para:<br />
<br />
* Fuga de datos entre inquilinos: En implementaciones multi-inquilino, envenenar la caché para que los usuarios de un inquilino reciban respuestas en caché de otro inquilino<br />
<br />
* Ataques de envenenamiento de caché: Servir contenido malicioso a usuarios legítimos envenenando entradas de caché compartidas<br />
<br />
La infraestructura CDN de Cloudflare no se vio afectada por esta vulnerabilidad, ya que la implementación predeterminada de clave de caché de Cloudflare utiliza múltiples factores para prevenir el envenenamiento de clave de caché y nunca hizo uso del valor predeterminado proporcionado anteriormente.<br />
<br />
Mitigación:<br />
<br />
Recomendamos encarecidamente a los usuarios de Pingora que actualicen a Pingora v0.8.0 o superior, lo que elimina la implementación predeterminada insegura de clave de caché. Los usuarios ahora deben implementar explícitamente su propia función de devolución de llamada que incluya factores apropiados como el encabezado Host, el esquema HTTP del servidor de origen y otros atributos en los que su caché debería variar.<br />
<br />
Los usuarios de Pingora en versiones anteriores también pueden eliminar cualquier uso de su CacheKey predeterminada e implementar la suya propia que debería incluir como mínimo el encabezado de host / autoridad y el esquema HTTP del par ascendente.
Impacto
Puntuación base 4.0
8.40
Gravedad 4.0
ALTA
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:cloudflare:pingora:*:*:*:*:*:*:*:* | 0.8.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página