Se ha detectado una vulnerabilidad grave de salto de ruta en la plataforma Windmill que permite la lectura de archivos arbitrarios y la ejecución de código si se ha configurado una clave de administrador. El fallo ya ha sido corregido en la versión 1.603.3, aunque se han identificado unos 170 sistemas afectados en 24 países. Además, la CISA alertó sobre otros fallos explotados recientemente en WordPress, DD-WRT y Langflow.




Un fallo de seguridad de alta gravedad que afecta a la plataforma para desarrolladores de código abierto Windmill está siendo explotado activamente, según VulnCheck.

La vulnerabilidad en cuestión es la CVE-2026-29059 (puntuación CVSS: 7.5), un caso de salto de directorio (path traversal) no autenticado que afecta al endpoint "get_log_file" de Windmill ("/api/w/{workspace}/jobs_u/get_log_file/{filename}").

"El parámetro del nombre de archivo se concatena en una ruta de archivo sin saneamiento, lo que permite a un atacante leer archivos arbitrarios en el servidor utilizando secuencias ../", según un aviso publicado por Windmill en marzo de 2026.

"El valor sensible principal expuesto por esta vulnerabilidad es la variable de entorno SUPERADMIN_SECRET, legible a través de /proc/1/environ. Cuando está configurado, este secreto puede usarse como un token Bearer para autenticarse como superadministrador y ejecutar código arbitrario a través de la API de vista previa de trabajos".

Sin embargo, cabe destacar que SUPERADMIN_SECRET no está configurado por defecto y, para las instancias independientes de Windmill sin este secreto, el impacto de la vulnerabilidad se limita a la lectura de archivos arbitrarios. El problema fue solucionado en Windmill 1.603.3, lanzado en enero de 2026, añadiendo comprobaciones de saneamiento al parámetro del nombre de archivo para evitar el salto de directorio.

Según VulnCheck, cuyo investigador de seguridad Valentin Lobstein es acreditado por descubrir y reportar el fallo, los esfuerzos de explotación se han dirigido al endpoint "get_log_file" de Windmill para extraer información sensible del archivo "/etc/passwd".

"Hemos observado exploits dirigidos tanto a los endpoints directos de Windmill como a la ruta del proxy de Nextcloud", dijo Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheck, en una publicación de LinkedIn.

La empresa de ciberseguridad afirmó haber identificado unos 170 sistemas vulnerables expuestos en 24 países.

La revelación se produce mientras la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió cuatro fallos de seguridad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV [CISA]), incluyendo dos errores de WordPress rastreados como wp2shell (CVE-2026-60137 y CVE-2026-63030), junto con un desbordamiento de búfer basado en pila en DD-WRT (CVE-2021-27137) y un problema de ejecución remota de código no autenticado en Langflow (CVE-2026-0770).

"wp2shell es uno de los eventos de seguridad del Núcleo de WordPress más significativos de los últimos años", afirmó Wordfence. "La combinación de accesibilidad no autenticada, la ausencia de requisitos de plugins o temas, una gran superficie de ataque global, una ruta hacia el acceso de administrador y la ejecución de código, así como la disponibilidad pública de exploits de prueba de concepto, hace que esta cadena de vulnerabilidades sea inusualmente grave".

Los datos de ataque capturados por la empresa de seguridad de WordPress muestran que los actores de amenazas están emitiendo solicitudes para explotar el problema de confusión de rutas de solicitud por lotes de la REST API y una inyección SQL no autenticada para lograr la ejecución de código.

En cuanto a la CVE-2026-0770, Ryan Dewhurst de KEVIntel informó que detectó los primeros intentos de explotación contra sus sensores el 27 de junio de 2026, registrando 137 intentos desde 46 direcciones IP de atacantes únicas asociadas a 17 países.

No menos de 75 intentos, que representan más de la mitad de la actividad, se originaron desde 20 direcciones IP de atacantes durante los últimos siete días. Las cargas útiles observadas incluyen comprobaciones de ejecución de comandos base, intentos de extraer el contenido de "/etc/passwd" o acceder a credenciales de AWS, recopilación de variables de entorno, descargas de malware mediante wget o curl, y la ejecución de scripts de shell para instalar cargas útiles de segunda etapa.

"La actividad no se limita a comprobaciones de vulnerabilidades", dijo Dewhurst. "Aunque gran parte implicaba comandos como id, whoami y la lectura de /etc/passwd, también observamos cargas útiles que intentaban descargar malware y obtener variables de entorno, credenciales de AWS y metadatos de contenedores".

Se aconseja a las agencias de la Rama Ejecutiva Civil Federal (FCEB) que remedien los fallos identificados antes del 24 de julio de 2026.

Fuente:
THN