Vulnerabilidad en TREK de mauriceboe (CVE-2026-45410)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

28/05/2026

Última modificación:

21/07/2026

Descripción

TREK es un planificador de viajes colaborativo. Antes de la versión 3.0.18, un retorno temprano por usuario inexistente durante el flujo de inicio de sesión permitió a un atacante enumerar cuentas de usuario válidas a través de una discrepancia en el tiempo de respuesta. Cuando una dirección de correo electrónico existía en la base de datos, el backend realizaba una comparación de contraseña bcrypt antes de devolver un 401 No autorizado, añadiendo ~370 ms de latencia. Cuando el correo electrónico no existía, el backend devolvía inmediatamente (~10 ms). Esta diferencia de tiempo de ~14× podía detectarse sin ninguna diferencia en los códigos de estado HTTP o los cuerpos de respuesta. Esta vulnerabilidad está corregida en la versión 3.0.18.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.30

Gravedad 3.x

MEDIA

Vulnerabilidad en TREK de mauriceboe (CVE-2026-45410)

Descripción

Impacto

Referencias a soluciones, herramientas e información