Vulnerabilidad en cas de apereo (CVE-2026-59099)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
02/07/2026
Última modificación:
25/10/2026
Descripción
Apereo CAS 7.3.0 anterior a 8.0.0-RC6 contiene una vulnerabilidad criptográfica que permite a atacantes remotos no autenticados recuperar el estado de conversación en texto plano explotando la reutilización del vector de inicialización AES-GCM a lo largo de la vida útil del servidor. Los atacantes pueden recolectar múltiples tokens de ejecución de webflow del lado del cliente desde la página de inicio de sesión no autenticada y realizar análisis de texto plano conocido para descifrar el estado de conversación del webflow debido a la reutilización del flujo de claves causada por un IV fijo de todo ceros emparejado con la misma clave de cifrado.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
9.10
Gravedad 3.x
CRÍTICA
Referencias a soluciones, herramientas e información
- https://apereo.github.io/2026/06/18/vuln/
- https://github.com/apereo/cas/commit/22c6f4adf738852782309b523b4e80371057f2d0
- https://github.com/apereo/cas/releases/tag/v8.0.0-RC6
- https://github.com/geo-chen/oss/blob/main/cas.md
- https://www.vulncheck.com/advisories/apereo-cas-rc6-aes-gcm-nonce-reuse-information-disclosure