Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en BugTracker.NET

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-715 sobre tres vulnerabilidades de severidad alta en BugTracker.NET 3.6.8, una aplicación web de código abierto para la gestión de errores e incidencias.

Los fallos identificados permiten, bajo determinadas condiciones, ejecutar comandos del sistema operativo, cargar archivos potencialmente ejecutables en el servidor y acceder a archivos fuera del directorio previsto por la aplicación. Dos de las vulnerabilidades requieren una cuenta autenticada con privilegios de administrador y la tercera puede ser explotada por un usuario autenticado con privilegios bajos.

La fuente indica que no hay explotación conocida de los tres CVE y que, por el momento, no se ha reportado una solución oficial.

Recursos afectados

• BugTracker.NET 3.6.8.

Descripción de las vulnerabilidades

Las vulnerabilidades comunicadas afectan a componentes distintos de la aplicación y presentan requisitos de explotación diferentes.

• CVE-2026-92531 — CVSS v4.0: 7.5 — CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — CWE-78.
  Se trata de una inyección de comandos del sistema operativo en la integración con SVN. El valor asociado al repositorio puede incorporarse a un comando de svn.exe sin una validación adecuada. Un administrador autenticado podría almacenar argumentos manipulados que serían procesados posteriormente por la función de comparación de revisiones. Para que el escenario descrito sea posible, svn.exe debe estar instalado y ser invocable por el servicio.
• CVE-2026-92532 — CVSS v4.0: 7.5 — CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — CWE-434.
  Esta vulnerabilidad afecta a la carga de archivos adjuntos. Un administrador autenticado podría modificar la configuración para que los ficheros se guarden en un directorio accesible desde la interfaz web. La falta de validación adecuada de las extensiones permitiría cargar un archivo ASPX malicioso y, posteriormente, ejecutarlo en el servidor.
• CVE-2026-92533 — CVSS v4.0: 7.1 — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N — CWE-22.
  Es una vulnerabilidad de Path Traversal en el componente de descarga de archivos. El parámetro que identifica el nombre del fichero no valida correctamente las rutas proporcionadas por el usuario. Un usuario remoto autenticado podría introducir rutas manipuladas para leer archivos ubicados fuera del directorio previsto por la aplicación.

Impacto y nivel de riesgo

Los tres problemas han sido clasificados como de severidad alta. Su impacto potencial depende de la vulnerabilidad explotada y de los privilegios de la cuenta utilizada por BugTracker.NET o por el servicio web.

• La explotación de CVE-2026-92531 podría permitir la ejecución de comandos arbitrarios con los privilegios de la cuenta con la que se ejecuta la aplicación.
• La explotación de CVE-2026-92532 podría permitir la ejecución de código arbitrario en el servidor con los privilegios de la cuenta utilizada por el servicio web.
• La explotación de CVE-2026-92533 podría facilitar la lectura de archivos del sistema a los que pueda acceder la cuenta de la aplicación.

Los dos primeros CVE requieren autenticación y privilegios de administrador. El tercero requiere autenticación, pero puede ser explotado con privilegios bajos. Estas condiciones reducen la exposición frente a un atacante no autenticado, aunque refuerzan la necesidad de revisar las cuentas con acceso a la plataforma y los permisos asignados.

INCIBE-CERT señala “Explotación: No” para CVE-2026-92531, CVE-2026-92532 y CVE-2026-92533. Por tanto, el aviso describe un riesgo potencial derivado de vulnerabilidades existentes, no ataques activos confirmados.

Solución y medidas recomendadas

No hay solución reportada por el momento. No se han indicado versiones corregidas, parches ni mitigaciones oficiales para BugTracker.NET 3.6.8.

Mientras se dispone de información adicional o de una corrección oficial, las organizaciones afectadas pueden aplicar medidas preventivas relacionadas con los escenarios descritos. Estas acciones no sustituyen una actualización o parche oficial.

• Revisar qué usuarios disponen de privilegios de administrador en BugTracker.NET y limitar dichos permisos al personal estrictamente necesario.
• Comprobar si la integración con SVN está en uso y revisar la exposición asociada a que svn.exe esté instalado y pueda ser invocado por el servicio.
• Revisar la configuración de almacenamiento de archivos adjuntos, especialmente si los directorios utilizados son accesibles mediante la interfaz web.
• Verificar los permisos de la cuenta empleada por la aplicación y por el servicio web, aplicando el principio de mínimo privilegio cuando sea posible.
• Supervisar el uso de las funciones de administración, carga de adjuntos, comparación de revisiones y descarga de archivos para identificar actividades anómalas relacionadas con estos componentes.

Recomendaciones para organizaciones afectadas

1. Confirmar la presencia de BugTracker.NET 3.6.8 en los activos de la organización.
2. Priorizar la revisión de las cuentas administrativas y de los usuarios autenticados con acceso a la aplicación.
3. Evaluar si los componentes afectados —integración SVN, adjuntos y descargas de archivos— están habilitados o son necesarios para la operativa.
4. Seguir la información publicada por el fabricante y por INCIBE-CERT para identificar la disponibilidad de una solución oficial.