CVE-2026-42016: fallo de gravedad alta en jfrog artifactory
Incorrect authorization validation of user token in JFrog Artifactory allows Privilege Escalation
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene alerta oficial del gobierno de Brasil.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CISC Gov.br · 16 sep 2026Boletim do CISC de Vulnerabilidadesleer en gov.br ↗
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
JFrog Artifactory no valida correctamente los permisos del usuario al verificar tokens, permitiendo que los atacantes obtengan privilegios mayores de los que deberían tener. Esto podría permitir que alguien acceda o modifique archivos que no debería.
La vulnerabilidad surge de una validación de autorización incorrecta en JFrog Artifactory versiones anteriores a 7.133.11, donde el mecanismo de autenticación valida la firma/emisor del token pero falla en aplicar restricciones de alcance. Un atacante con un token válido puede escalar privilegios eludiendo la validación de alcance, obteniendo potencialmente acceso no autorizado a recursos protegidos o funciones administrativas.
En el mismo producto, de las más peligrosas a las menos.