SourceHut ha corregido una vulnerabilidad de seguridad (CVE-2026-121728) que permitía a los atacantes registrar cuentas nuevas a pesar de que el sistema había desactivado oficialmente la inscripción. El fallo, introducido en 2021 durante la migración del código de registro a la API de Go, consistía en una lógica defectuosa: el servidor no verificaba si el registro estaba cerrado en la ruta de éxito, aunque sí lo hacía en los errores. Esto permitía a los atacantes enviar una solicitud POST a la ruta /register/step2 con credenciales propias. El único obstáculo era la protección contra el robo de sesión (CSRF), ya que no existía un formulario visible para obtener el token. Sin embargo, el investigador demostró que el token de inicio de sesión existente era suficiente para autenticar la solicitud de registro. La vulnerabilidad afectó a las versiones 0.56.11 a 0.88.9 de la plataforma. El investigador, Arusekk, reveló el fallo tras descubrir que el sistema seguía aceptando registros cuando debería haberlos rechazado, y tras la muerte de su disco duro SSD, que le obligó a comprar uno de segunda mano. La corrección fue implementada el 3 de noviembre de 2026, tras la divulgación al equipo de seguridad de SourceHut. El investigador destaca que las refactorizaciones pueden eliminar comprobaciones de seguridad y recomienda limitar el alcance de los tokens CSRF a los endpoints específicos.
Noticias agregadas con IA