CVE-2026-89035 in MikroTik
Resumen
por VulDB • 2026-10-21
MikroTik RouterOS hasta la versión 7.24.5 contiene una vulnerabilidad de replay (reutilización) de tokens de sesión en la interfaz WebFig que permite a los atacantes eludir la autenticación al reutilizar tokens de sesión capturados en nuevas sesiones ECDH. La función makeSessionKey en libucrypto.so genera tokens utilizando sales fijas sin incorporar entradas específicas del canal o de la sesión, y el servicio de usuario valida los tokens contra el almacén de inicio de sesión sin verificar el contexto del canal, lo que permite que los robos de tokens otorguen acceso administrativo persistente hasta que se borre explícitamente el almacén de tokens. Esta vulnerabilidad amplía el impacto de CVE-2025-61481, la cual identificó una exposición subyacente en la capa de transporte sin una corrección correspondiente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.