Vulnerabilidad en Formwork (CVE-2026-27198)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

21/02/2026

Última modificación:

03/03/2026

Descripción

Formwork es un Sistema de Gestión de Contenidos (CMS) basado en archivos planos. En las versiones 2.0.0 a 2.3.3, la aplicación no logra aplicar correctamente la autorización basada en roles durante la creación de cuentas. Aunque el sistema valida que el rol especificado existe, no verifica si el usuario actual tiene privilegios suficientes para asignar roles altamente privilegiados como &#39;admin&#39;. Como resultado, un usuario autenticado con el rol de &#39;editor&#39; puede crear una nueva cuenta con privilegios administrativos, lo que lleva a un acceso administrativo completo y a un compromiso total del CMS. Este problema ha sido solucionado en la versión 2.3.4.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto