Alerta crítica de seguridad: Se ha publicado la vulnerabilidad CVE-2026-54454 que afecta a OpenCATS, un sistema de seguimiento de candidatos (ATS) de código abierto. Esta falla, con una puntuación CVSS de 9.1 (Crítica), permite a un usuario autenticado con privilegios de importación ejecutar código arbitrario en el servidor mediante la subida de un archivo PHP malicioso. Se recomienda encarecidamente actualizar a la versión 0.10.0 o aplicar las mitigaciones indicadas por el fabricante.
Resumen ejecutivo
| CVE | CVE-2026-54454 |
|---|---|
| Fabricante | OpenCATS |
| Producto | OpenCATS |
| Fecha de publicación | 2026-10-13 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) |
| Prioridad RyzerBot | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-54454 es una vulnerabilidad de subida de archivos sin restricciones (CWE-434) en el módulo de importación de OpenCATS, concretamente en el archivo modules/import/ImportUI.php. Esta falla afecta a todas las versiones anteriores a la 0.10.0.
El problema radica en que, para un tipo de dato de importación específico, el módulo conserva el nombre original del archivo subido y lo coloca en el directorio temporal del servidor web, que es accesible desde la web. Un usuario autenticado con privilegios de importación puede aprovechar esta ruta para subir un archivo PHP con un nombre controlado por el atacante. Si durante el proceso de importación se produce un error, el archivo puede quedar almacenado en el disco.
En el escenario de explotación, si el directorio temporal está configurado para ejecutar PHP, el atacante puede solicitar el archivo alojado y ejecutar código PHP arbitrario con los privilegios del proceso del servidor web. Esto podría permitir el acceso y la modificación de datos de reclutamiento, así como comprometer el sistema host.
La vulnerabilidad ha sido corregida en la versión 0.10.0 de OpenCATS, según confirma el aviso de seguridad GHSA-v9gx-5qhj-jf7c.
La puntuación CVSS de 9.1 refleja la gravedad del problema: aunque se requiere autenticación y privilegios de importación, el impacto potencial es alto en cuanto a confidencialidad, integridad y disponibilidad, con un alcance que puede extenderse más allá del componente vulnerable.
Es importante señalar que la explotación requiere que el directorio temporal del servidor web tenga habilitada la ejecución de PHP. Esta condición no siempre se cumple por defecto, pero es una configuración común en muchos entornos de alojamiento, lo que eleva el riesgo real de explotación.
El fabricante ha publicado un commit específico que corrige el problema, así como un pull request que documenta los cambios realizados. La versión corregida está disponible en la página de releases del proyecto.
Dado el nivel de criticidad y la facilidad de explotación en entornos con la configuración adecuada, se recomienda a los administradores de sistemas que utilicen OpenCATS que evalúen su exposición y apliquen la actualización correspondiente lo antes posible.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-54454 afecta a OpenCATS, un sistema de seguimiento de candidatos y CRM de reclutamiento de código abierto. Según la información publicada por CVE.org y NVD, todas las versiones anteriores a 0.10.0 están afectadas. La vulnerabilidad se corrige en la versión 0.10.0.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| OpenCATS | < 0.10.0 | 0.10.0 |
No se han publicado otras versiones o ramas afectadas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.1 (vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H), reside en el módulo de importación de OpenCATS, concretamente en el archivo modules/import/ImportUI.php. El fallo se debe a una subida sin restricciones de un archivo con tipo peligroso (CWE-434).
Un usuario autenticado con privilegios de importación puede explotar esta debilidad para cargar un archivo PHP malicioso. El sistema conserva el nombre original del archivo subido y lo coloca en un directorio temporal accesible desde la web. Si el servidor web tiene habilitada la ejecución de PHP en ese directorio, el atacante puede solicitar el archivo alojado y ejecutar código arbitrario con los privilegios del proceso del servidor web.
El impacto potencial es alto, ya que el atacante podría:
- Exponer o modificar datos de contratación almacenados en el sistema.
- Comprometer el sistema anfitrión donde se ejecuta OpenCATS.
- Escalar privilegios dentro de la infraestructura si el proceso del servidor web cuenta con permisos ampliados.
La puntuación de explotabilidad es de 2.3 y el impacto de 6.0, lo que refleja la gravedad del problema. El vector de red, la baja complejidad de ataque y el impacto en la confidencialidad, integridad y disponibilidad contribuyen a la criticidad de esta vulnerabilidad.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad en entornos reales. No se ha confirmado ni documentado ningún caso de aprovechamiento de la CVE-2026-54454 en estado salvaje. La ausencia de esta información no debe interpretarse como una garantía de seguridad; se recomienda aplicar las actualizaciones correspondientes de manera inmediata.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos aparece vacío, por lo que no se publican IOC para esta vulnerabilidad. No deben inventarse indicadores que no estén respaldados por las fuentes oficiales.
Cómo comprobar si estás afectado
Para determinar si tu instalación de OpenCATS es vulnerable a CVE-2026-54454, debes verificar la versión exacta del software que estás ejecutando. Según la información publicada por el fabricante y el CNA, todas las versiones anteriores a 0.10.0 se consideran afectadas.
El primer paso es identificar la versión instalada. Puedes hacerlo consultando la interfaz de administración de OpenCATS, revisando el archivo de configuración principal o examinando el repositorio de tu instalación si utilizas un sistema de control de versiones. La versión suele aparecer en la página de información del sistema o en el pie de página del panel de administración.
Además de la versión, debes considerar el contexto de despliegue. La vulnerabilidad requiere que se cumplan varias condiciones para ser explotable:
- Disponer de una cuenta de usuario autenticada con privilegios de importación (
Import privileges). - Que el módulo de importación (
modules/import/ImportUI.php) esté activo y accesible. - Que el directorio temporal utilizado por el módulo sea accesible desde la web y tenga la ejecución de PHP habilitada.
Si tu versión es anterior a la 0.10.0 y cumples estas condiciones, tu instalación es potencialmente vulnerable. No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la revisión debe centrarse en la versión y la configuración del servidor.
Mitigación y actualización
La única corrección confirmada por el fabricante es la actualización a la versión 0.10.0 de OpenCATS. Esta versión incluye el parche que resuelve el problema de subida de archivos con nombre controlado por el atacante en el módulo de importación. Puedes consultar las notas de la versión y el commit específico en las referencias oficiales.
Mientras se planifica la actualización, se recomienda aplicar las siguientes medidas de mitigación temporal:
- Restringir privilegios: Revisa qué usuarios tienen asignados privilegios de importación y reduce ese conjunto al mínimo imprescindible. Cuantos menos usuarios puedan acceder al módulo afectado, menor será la superficie de ataque.
- Deshabilitar la ejecución de PHP en el directorio temporal: Si el directorio temporal utilizado por el módulo de importación es conocido y está servido por el servidor web, configura el servidor para que no ejecute scripts PHP en esa ruta. Esta es una mitigación eficaz porque la explotación requiere que el archivo subido se ejecute como PHP.
- Monitorizar el directorio temporal: Revisa periódicamente el contenido del directorio temporal en busca de archivos con extensiones ejecutables (.php, .phtml, etc.) que no deberían estar presentes.
Importante: Estas medidas son paliativas y no sustituyen a la actualización. La única solución completa confirmada es actualizar a OpenCATS 0.10.0 o posterior.
Checklist para administradores
- ☐ Identificar la versión exacta de OpenCATS instalada en todos los entornos (producción, pruebas, desarrollo).
- ☐ Confirmar si la versión instalada es anterior a 0.10.0 (afectada).
- ☐ Revisar qué usuarios tienen privilegios de importación y reducir el acceso al mínimo necesario.
- ☐ Verificar si el directorio temporal del módulo de importación es accesible desde la web.
- ☐ Comprobar si la ejecución de PHP está habilitada en el directorio temporal y deshabilitarla si es posible.
- ☐ Planificar la actualización a la versión 0.10.0 en un entorno de pruebas antes de aplicarla en producción.
- ☐ Tras la actualización, verificar que el módulo de importación sigue funcionando correctamente.
- ☐ Revisar los registros del servidor web y del sistema en busca de actividad sospechosa relacionada con el módulo de importación.
- ☐ Documentar las acciones realizadas y las decisiones tomadas para futuras auditorías.
Preguntas frecuentes
¿Qué es CVE-2026-54454?
Es una vulnerabilidad crítica (CVSS 9.1) en OpenCATS, un sistema de seguimiento de candidatos de código abierto. Permite a un usuario autenticado con privilegios de importación subir un archivo PHP con un nombre controlado a un directorio temporal accesible desde la web. Si la ejecución de PHP está habilitada en ese directorio, el atacante puede ejecutar código arbitrario en el servidor.
¿Qué versión de OpenCATS corrige esta vulnerabilidad?
La versión 0.10.0 de OpenCATS incluye la corrección. Las versiones anteriores a 0.10.0 se consideran afectadas.
¿Qué se necesita para explotar esta vulnerabilidad?
Se requiere una cuenta de usuario autenticada con privilegios de importación, acceso al módulo de importación y que el directorio temporal sea accesible desde la web con ejecución de PHP habilitada. El vector CVSS indica que el ataque es de red, con complejidad baja y sin interacción del usuario, pero requiere privilegios altos.
¿La vulnerabilidad afecta a los datos de mi sistema de reclutamiento?
Sí. Si la vulnerabilidad es explotada, el atacante puede ejecutar código PHP con los privilegios del proceso del servidor web. Esto podría permitirle acceder, modificar o exfiltrar datos del sistema de reclutamiento, así como comprometer el sistema anfitrión.
¿Existen indicadores de compromiso (IOC) publicados?
No. Las fuentes consultadas (NVD y CVE.org) no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No deben inventarse ni utilizarse IOC no verificados.
¿Qué hago si no puedo actualizar inmediatamente?
Aplica las medidas de mitigación descritas anteriormente: restringe los privilegios de importación, deshabilita la ejecución de PHP en el directorio temporal y monitoriza la actividad del módulo. La actualización debe ser una prioridad.
Fuentes oficiales
Para obtener información detallada y actualizada, consulta las siguientes referencias oficiales:
- NVD – Detalle de CVE-2026-54454
- Aviso de seguridad oficial de OpenCATS (GHSA-v9gx-5qhj-jf7c)
- Commit con la corrección en el repositorio oficial
- Pull request #808 con los cambios de la corrección
- Notas de la versión 0.10.0 de OpenCATS
Se recomienda revisar periódicamente estas fuentes para conocer cualquier actualización adicional sobre la vulnerabilidad o nuevas recomendaciones del fabricante.