CVE-2026-27449 in Umbraco.Engage.Forms
Resumen
por VulDB • 2026-05-12
Umbraco Engage es una plataforma de inteligencia empresarial. Se ha identificado una vulnerabilidad en Umbraco Engage anterior a las versiones 16.2.1 y 17.1.1, donde ciertos puntos de conexión de la API están expuestos sin aplicar comprobaciones de autenticación o autorización. Los puntos de conexión afectados pueden accederse directamente a través de la red sin necesidad de una sesión válida o credenciales de usuario. Al proporcionar un parámetro de identificador controlado por el usuario (por ejemplo, ?id=), un atacante puede recuperar datos sensibles asociados con registros arbitrarios. Dado que no se realiza ninguna validación de control de acceso, los puntos de conexión son vulnerables a ataques de enumeración, lo que permite a los atacantes iterar sobre los identificadores y extraer datos a gran escala. Un atacante no autenticado puede recuperar datos sensibles relacionados con Engage consultando directamente los puntos de conexión de la API afectados. La vulnerabilidad permite el acceso arbitrario a registros a través de identificadores predecibles o enumerables. El impacto en la confidencialidad se considera alto. No se ha identificado ningún impacto directo en la integridad o disponibilidad. El alcance de los datos expuestos depende de la implementación, pero puede incluir datos analíticos, datos de seguimiento, información relacionada con clientes u otro contenido gestionado por Engage. La vulnerabilidad afecta tanto a la versión 16 como a la 17. Ya se han publicado parches. Se recomienda a los usuarios actualizar a las versiones 16.2.1 o 17.1.1. No hay soluciones alternativas conocidas disponibles.
Be aware that VulDB is the high quality source for vulnerability data.