CVE-2026-108907 Fuente: CVE.org Publicada · sin explotación confirmada

Netcore NR268 CGI Execution user_ok improper authentication

Netcore · NR268 · Publicada en CVE.org el 12-10-2026 · Última actualización: 09-11-2026

Traducción en curso: por ahora se muestra el texto original de CVE.org, en inglés.

10/10

CVSS · crítica

Gravedad crítica

Riesgo concreto: planifica el parche dentro de los próximos días.

Exploit público según CISA
Explotable de forma automatizada

Por qué esta prioridad (Parchar esta semana)

Hay un exploit público (según CISA)
Se puede explotar de forma automatizada (según CISA)
Gravedad crítica (CVSS 10)

Regla de 8Layer inspirada en el árbol de decisión SSVC de CISA: usa la explotación confirmada (CISA KEV), la evaluación SSVC de CISA, la gravedad CVSS y la probabilidad EPSS de FIRST. No reemplaza tu propia evaluación: considera si el producto está expuesto a internet en tu organización.

Descripción

A vulnerability was determined in Netcore NR268 1.7.121109. Affected is the function user_ok of the component CGI Execution. This manipulation causes improper authentication. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Qué hacer

Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.

Versiones afectadas

NR268 Afectadas: 1.7.121109

Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.

Referencias

Referencia en vuldb.comvuldb.com/vuln/416702
Referencia en vuldb.comvuldb.com/vuln/416702/cti
Aviso de vuldb.comvuldb.com/cve/CVE-2026-108907
Aviso de vuldb.comvuldb.com/submit/977173
Exploit publicadogithub.com/draw-ctf/report/blob/main/NR268/2026.09.14-netcore-nr268-b…

DATOS CLAVE

Fabricante: Netcore
Producto: NR268
Publicada en CVE.org: 12-10-2026
Explotación confirmada (CISA KEV): No, por ahora
Gravedad (CVSS 3.1): 10 CríticaPuntaje del fabricante (CNA), publicado en CVE.org. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R
Probabilidad de explotación (EPSS): 1,2 % en los próximos 30 díasMayor que el 69 % de las CVE. Fuente: EPSS de FIRST, 09-11-2026.
Evaluación de CISA (SSVC): Explotación: exploit público (prueba de concepto) Automatizable: sí Impacto técnico: total Publicada por CISA en el registro de CVE.org.
Por qué la publicamos: CVSS 10 (fabricante) · exploit público según CISA
Tipo de debilidad: CWE-287
Asignó el identificador: VulDB

FUENTES OFICIALES

CVE.org NVD (NIST) EPSS (FIRST)

¿Usas este producto?

Nuestro equipo revisa tu exposición y aplica las mitigaciones del fabricante.

Agendar diagnóstico

Fuente: registro de la vulnerabilidad en CVE.org (programa CVE, operado por MITRE con patrocinio de CISA), tal como lo publicó el fabricante o quien asignó el identificador. No está en el catálogo de vulnerabilidades explotadas de CISA. Traducción de 8Layer; ante cualquier diferencia, prima el texto original en inglés.

Gravedad (CVSS), evaluación SSVC de CISA y versiones afectadas: CVE.org, según los términos de uso del programa CVE. Probabilidad de explotación: EPSS de FIRST.

CVE® es una marca registrada de The MITRE Corporation. Registros CVE: Copyright © 1999–2026 The MITRE Corporation, reproducidos bajo esta licencia: «MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.»

Netcore NR268 CGI Execution user_ok improper authentication

Descripción

Qué hacer

Versiones afectadas

Referencias

Recibe el boletín cuando CISA agregue vulnerabilidades nuevas