Vulnerabilidad en blueprintue-self-hosted-edition de blueprintue (CVE-2026-40588)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

21/04/2026

Última modificación:

26/10/2026

Descripción

blueprintUE es una herramienta para ayudar a los desarrolladores de Unreal Engine. Antes de la versión 4.2.0, el formulario de cambio de contraseña en /profile/{slug}/edit/ no incluye un campo current_password y no verifica la contraseña existente del usuario antes de aceptar una nueva. Cualquier atacante que obtenga una sesión autenticada válida -a través de la explotación de XSS, el secuestro de sesión (session sidejacking) sobre HTTP, el acceso físico a un navegador con sesión iniciada, o una cookie ’recordarme’ robada- puede cambiar inmediatamente la contraseña de la cuenta sin conocer la credencial original, lo que resulta en una toma de control permanente de la cuenta. Esta vulnerabilidad se corrige en la versión 4.2.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Vulnerabilidad en blueprintue-self-hosted-edition de blueprintue (CVE-2026-40588)

Descripción

Impacto

Referencias a soluciones, herramientas e información