CVE-2026-82882

Reporte público de vulnerabilidad

BAJA Exploit público detectado CVSS 8.8 / HIGH CWE-862

GTN Risk Score

43/100

Prioridad media

Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.

Resumen ejecutivo

CVE-2026-82882 presenta una prioridad BAJA. El análisis público consolidado indica CVSS 8.8 (ALTA), EPSS 0.31%, CISA KEV: No, exploit público detectado: Sí. El GTN Risk Score es 43/100 (Prioridad media). Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar advisories oficiales, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Resumen ejecutivo

Devtron hasta la versión 2.2.0 no aplica comprobaciones de autorización en el punto final GET /orchestrator/api-token/webhook, lo que permite a los usuarios autenticados recuperar tokens de API de administrador. Los atacantes con cualquier cuenta autenticada pueden consultar el punto final con parámetros arbitrarios de proyecto, entorno y aplicación para recuperar tokens JWT de superadministrador en texto plano para un control total de la plataforma. Resumen de riesgo: CVE-2026-82882 presenta CVSS 8.8, severidad ALTA, EPSS 0.31%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Indicadores

EPSS 0.31% / valor crudo: 0.003080000

Percentil 23.11% / valor crudo: 0.231070000

CISA KEV No

CVSS 8.8

Severidad HIGH

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Attack Vector NETWORK

¿De qué se trata?

Ver descripción original en inglés

Devtron through 2.2.0 fails to enforce authorization checks on the GET /orchestrator/api-token/webhook endpoint, allowing authenticated users to retrieve admin API tokens. Attackers with any authenticated account can query the endpoint with arbitrary project, environment, and application parameters to retrieve plaintext super-admin JWT tokens for full platform control.

Producto / proveedor

Vendor No disponible

Producto No disponible

Nombre vulnerabilidad No disponible

CWE CWE-862

Fechas

Publicada 2026-08-31T22:17:31.940

Modificada 2026-09-02T15:17:44.423

Due Date CISA No aplica

Consultada 2026-09-02 18:26:08

Estado de explotación

Estado Exploit público detectado

Exploit público Sí

Confianza Media-Alta

Evidencia encontrada

Fuente	Estado	Detalle	Confianza
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media

Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.

¿Cómo superarlo / mitigarlo?

Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
CVSS alto: evaluar impacto en servicios relevantes.
Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.

Referencias

Volver al inicio Nueva consulta