Vulnerabilidad en boruta-server de malach-it (CVE-2026-53661)

Boruta es un servidor de autorización independiente que tiene como objetivo implementar OAuth 2.0 y Openid Connect hasta las especificaciones de identidad descentralizada. Antes de la versión 0.9.1, las cookies de sesión de Boruta y la cookie de identidad ’recordarme’ se configuraban sin el atributo Secure. En implementaciones donde los usuarios podían acceder al mismo origen de Boruta a través de HTTP en texto plano, los navegadores podían enviar estas cookies a través de una conexión no cifrada. Un atacante capaz de observar o interceptar ese tráfico de red podría recuperar una cookie de sesión o de recordarme válida y reutilizarla para suplantar al usuario afectado. Los componentes afectados incluyen boruta_web, boruta_identity y boruta_admin. Las cookies afectadas incluyen la cookie de sesión compartida, que por defecto es _boruta_web_key, y la cookie de identidad de recordarme, que por defecto es ’_boruta_identity_web_user_remember_me’. El problema se soluciona en el commit 18691c655164635066aa113003a3cd87f6ed11cd, lanzado como parte de la versión 0.9.1. El parche establece ’secure: true’ y ’same_site: “Lax”’ en las cookies de sesión configuradas para boruta_web, boruta_identity y boruta_admin, y establece ’secure: true’ en la cookie de identidad de recordarme. Hasta que se actualice a una versión que contenga la corrección: termine o rechace el HTTP en texto plano antes de que las solicitudes lleguen a Boruta; imponga el acceso solo por HTTPS en el proxy inverso o balanceador de carga; habilite HSTS para los dominios de Boruta; si se sospecha de exposición de cookies, rote SECRET_KEY_BASE y BORUTA_SESSION_COOKIE_SIGNING_SALT, luego requiera que los usuarios se autentiquen nuevamente. Actualice a una versión que contenga el commit 18691c655164635066aa113003a3cd87f6ed11cd, o aplique el parche manualmente. Después de implementar la corrección, verifique que las cookies de sesión y de recordarme de Boruta incluyan el atributo Secure en las herramientas de desarrollador del navegador o con una herramienta de inspección de respuesta HTTP.