Vulnerabilidades y Avisos de Seguridad: Omisión de autenticación en Stela de Diaple Networking

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-747 sobre una vulnerabilidad crítica en Stela, software de gestión de eventos e instituciones desarrollado por Diaple Networking.

El fallo, identificado como CVE-2026-101287, permite omitir el proceso de autenticación mediante la manipulación de información almacenada en una cookie del cliente. La vulnerabilidad afecta a las versiones de Stela anteriores a 1.60.1 y cuenta con una puntuación CVSS v4.0 de 9.3.

La actualización a la versión corregida debe tratarse como una prioridad para las organizaciones que utilicen el producto afectado, ya que un atacante remoto podría llegar a suplantar cuentas con altos privilegios sin disponer de credenciales válidas.

Recursos afectados

• Stela de Diaple Networking, versiones anteriores a 1.60.1.

Descripción de la vulnerabilidad

CVE-2026-101287 es una vulnerabilidad de omisión de autenticación clasificada como CWE-565. El problema reside en el tratamiento de una cookie denominada authProcess durante el inicio de sesión.

Según la información publicada, esta cookie contiene el identificador de usuario, userId, y el estado del proceso de autenticación, validSteps. La aplicación confía en los valores presentes en dicha cookie sin verificar su integridad, pese a que pueden ser modificados desde el cliente.

Esta falta de validación permite que un atacante altere los datos de la cookie para evitar las comprobaciones previstas en el proceso de acceso y completar el inicio de sesión como otro usuario.

Impacto y nivel de riesgo

La vulnerabilidad está clasificada como crítica y tiene una puntuación base de CVSS v4.0: 9.3, con el vector:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

El vector indica que el ataque puede realizarse a través de la red, presenta baja complejidad y no requiere privilegios previos ni interacción de otros usuarios. De acuerdo con el aviso, un atacante remoto sin credenciales válidas podría manipular la cookie de autenticación para suplantar cualquier cuenta, incluida una cuenta con privilegios SUPER_ADMIN.

Una explotación satisfactoria podría permitir la obtención de un token JWT válido con privilegios administrativos, con impacto potencial sobre la confidencialidad y la integridad de la aplicación.

La información disponible indica “Explotación: No”. Por tanto, no se han señalado ataques activos ni explotación confirmada de esta vulnerabilidad en el aviso, aunque su impacto potencial y las condiciones necesarias para aprovecharla justifican una respuesta prioritaria.

Solución y medidas recomendadas

La solución indicada es actualizar Stela a la versión 1.60.1 o posterior.

La actualización corrige el problema de autenticación descrito y debe planificarse con prioridad en todos los entornos que ejecuten versiones anteriores.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de Stela desplegadas en la organización y comprobar si utilizan una versión anterior a 1.60.1.
2. Actualizar los sistemas afectados a la versión 1.60.1 o una versión posterior, siguiendo los procedimientos internos de gestión de cambios.
3. Priorizar los entornos expuestos a red, dado que el vector CVSS indica que la vulnerabilidad puede explotarse remotamente.
4. Revisar los accesos administrativos y la gestión de tokens JWT en los sistemas afectados como medida de control posterior a la actualización.
5. Mantener seguimiento de las comunicaciones del fabricante y de los avisos de seguridad relacionados con CVE-2026-101287.