CVE-2026-111675: fallo crítico en course-tencent-cloud

Qué es la vulnerabilidad

CVE-2026-111675 es una vulnerabilidad de restricción inadecuada de intentos de autenticación (CWE-307) presente en el producto course-tencent-cloud, desarrollado por xiaochong0302, en todas las versiones hasta la 2.0.1 inclusive.

El fallo reside en el manejo de los códigos de verificación de un solo uso (OTP) de 6 dígitos, utilizados tanto en el flujo de restablecimiento de contraseña como en el de verificación de inicio de sesión. Según la descripción oficial, estos códigos nunca se invalidan tras un número determinado de intentos fallidos ni se aplica límite de intentos por sesión o por dirección IP.

Esta deficiencia permite a un atacante no autenticado realizar un ataque de fuerza bruta contra el código de 6 dígitos. Dado que el espacio de combinaciones posibles es de un millón (10^6), y sin mecanismos de bloqueo o expiración, un atacante con capacidad de rotar direcciones IP de origen puede agotar todas las combinaciones en un tiempo razonable.

El vector de ataque requiere que el atacante conozca previamente el número de teléfono o la dirección de correo electrónico de la víctima. Con ese dato, puede solicitar el envío de un nuevo código de verificación y, posteriormente, lanzar el ataque de fuerza bruta contra los endpoints de restablecimiento de contraseña y verificación de inicio de sesión.

La vulnerabilidad ha sido clasificada con una puntuación CVSS v4.0 de 9.1, considerada crítica. El vector completo es CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N, lo que indica que el ataque es explotable de forma remota, sin requerir privilegios previos ni interacción del usuario, y que el impacto sobre la confidencialidad e integridad de los datos es alto.

El fabricante xiaochong0302 no ha publicado hasta el momento un parche oficial que corrija esta vulnerabilidad. La única acción recomendada por las fuentes consultadas es revisar el aviso oficial y aplicar la actualización o mitigación publicada cuando esté disponible.

Es importante señalar que esta vulnerabilidad afecta a la plataforma course-tencent-cloud, un producto de código abierto que permite desplegar infraestructuras de cursos en línea. Las organizaciones que utilicen este software en producción deben considerar el riesgo como crítico y priorizar su remediación.

No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas para esta vulnerabilidad.

Productos y versiones vulnerables

Según la información publicada por CVE.org y NVD, el producto afectado es course-tencent-cloud, desarrollado por xiaochong0302. La vulnerabilidad está presente en todas las versiones hasta la 2.0.1 inclusive.

No se ha publicado información sobre versiones posteriores que corrijan la vulnerabilidad ni sobre parches disponibles en las fuentes consultadas.

Impacto y riesgo

La vulnerabilidad CVE-2026-111675 ha sido clasificada con una puntuación CVSS de 9.1 (CRITICAL) según el vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Esta clasificación refleja un impacto severo en la confidencialidad e integridad de los datos, aunque no afecta a la disponibilidad del servicio.

El fallo radica en una restricción inadecuada de intentos de autenticación (CWE-307). Los códigos de verificación de 6 dígitos enviados por SMS o correo electrónico nunca se invalidan ni tienen límite de intentos. Esto permite a un atacante no autenticado realizar un ataque de fuerza bruta contra dichos códigos, rotando direcciones IP de origen para evadir posibles bloqueos.

Las consecuencias prácticas son graves:

• Toma de control de cuentas: Un atacante que conozca el número de teléfono o correo electrónico de una víctima puede solicitar el envío de un código de verificación y, mediante fuerza bruta, adivinarlo para restablecer la contraseña o verificar el inicio de sesión.
• Compromiso total de la cuenta: Una vez que el atacante obtiene acceso, puede modificar credenciales, acceder a datos personales y realizar acciones en nombre de la víctima.
• Escalada a otros sistemas: Si la plataforma se utiliza en entornos educativos o empresariales, el compromiso de una cuenta podría servir como punto de partida para ataques adicionales.

Dado que el vector de ataque es de red (AV:N) y no requiere privilegios (PR:N) ni interacción del usuario (UI:N), el riesgo de explotación remota es elevado, especialmente en despliegues expuestos a Internet.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org y los avisos de terceros referenciados) no confirman explícitamente que exista explotación activa en entornos reales de esta vulnerabilidad. Sin embargo, el investigador que reportó el fallo publicó un análisis técnico detallado en el que describe el proceso de fuerza bruta contra los códigos de verificación, lo que demuestra que la vulnerabilidad es técnicamente explotable.

La ausencia de confirmación de explotación activa no debe interpretarse como un riesgo menor. La naturaleza del fallo —códigos de verificación sin invalidación ni límite de intentos— facilita su explotación con herramientas de automatización básicas. Se recomienda tratar esta vulnerabilidad como de alto riesgo de explotación inminente y priorizar la aplicación de medidas de mitigación.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad.

Ante la ausencia de IOC oficiales, se recomienda a los administradores:

• Revisar los registros de autenticación en busca de patrones de fuerza bruta contra los endpoints de restablecimiento de contraseña y verificación de inicio de sesión.
• Monitorizar intentos de inicio de sesión fallidos desde múltiples direcciones IP en períodos cortos de tiempo.
• Auditar cuentas con restablecimientos de contraseña recientes o cambios de credenciales no solicitados.

Si se detectan actividades sospechosas, se debe considerar la posibilidad de que la cuenta haya sido comprometida mediante esta vulnerabilidad y proceder a la rotación de credenciales y revisión de sesiones activas.

Cómo comprobar si estás afectado

Para determinar si tu instalación de course-tencent-cloud es vulnerable a CVE-2026-111675, debes verificar la versión exacta del producto que estás ejecutando. Según los datos publicados por CVE.org, todas las versiones hasta 2.0.1 inclusive están afectadas.

El fabricante (xiaochong0302) no ha publicado un boletín de seguridad oficial ni una versión corregida en las fuentes consultadas. Por tanto, la comprobación se limita a la identificación de la versión desplegada y a la revisión manual del código fuente si tienes acceso a él.

Pasos para la verificación

1. Identifica la versión instalada: consulta el archivo de manifiesto de tu aplicación (por ejemplo, composer.json, package.json o el archivo de versión que use tu despliegue). Si la versión es 2.0.1 o inferior, asume que estás afectado.
2. Revisa los endpoints de verificación: si tienes acceso al código fuente, inspecciona los archivos app/Services/Verify.php (líneas 27-73) y app/Services/Logic/Account/PasswordReset.php. Busca si existe algún límite de intentos o invalidación de códigos tras un número de intentos fallidos. La ausencia de estos controles confirma la vulnerabilidad.
3. Comprueba los logs de autenticación: revisa los registros de tu servidor en busca de patrones anómalos, como múltiples solicitudes de verificación de código desde direcciones IP rotatorias en un corto período de tiempo. Esto puede indicar un intento de explotación activo.

Nota importante: No se han publicado herramientas de escaneo automático ni comandos específicos para esta verificación en las fuentes consultadas. La revisión manual es el método recomendado.

Mitigación y actualización

En el momento de redactar este análisis, no existe una versión corregida publicada por el fabricante xiaochong0302 para CVE-2026-111675. Las fuentes consultadas (NVD, CVE.org y el aviso de VulnCheck) no referencian ningún parche oficial ni una versión posterior a la 2.0.1.

Mientras tanto, se recomienda aplicar las siguientes mitigaciones compensatorias para reducir el riesgo de explotación:

1. Restringe el acceso a los endpoints de verificación: limita por red o por reglas de firewall las direcciones IP que pueden alcanzar los endpoints de password reset y verify login. Si estos endpoints no necesitan ser accesibles desde Internet, bloquéalos a nivel de red.
2. Implementa un proxy inverso con limitación de tasa: configura tu servidor web o un WAF para limitar el número de solicitudes por IP y por usuario. Esto dificulta la rotación de IPs y los intentos masivos de fuerza bruta.
3. Monitoriza los logs de autenticación: activa alertas en tiempo real para detectar picos de solicitudes de verificación de código, especialmente si provienen de rangos de IPs diferentes en un intervalo corto.
4. Revisa el código fuente y aplica parches manuales: si tienes capacidad de desarrollo, modifica los archivos Verify.php y PasswordReset.php para introducir un límite de intentos (por ejemplo, 5 intentos) y la invalidación del código tras ese número de fallos o tras un tiempo de expiración (por ejemplo, 10 minutos).
5. Considera deshabilitar temporalmente la funcionalidad: si la plataforma no es crítica, valora desactivar el restablecimiento de contraseña por SMS/email hasta que exista un parche oficial.

Es fundamental seguir el aviso del fabricante y las actualizaciones de NVD para conocer cuándo se publique una versión corregida. La acción recomendada por las fuentes es: «Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada».

Checklist para administradores

Utiliza esta lista para evaluar y mitigar el riesgo asociado a CVE-2026-111675 en tu despliegue de course-tencent-cloud.

• ☐ He identificado la versión exacta de course-tencent-cloud en producción.
• ☐ He confirmado si la versión desplegada es igual o inferior a 2.0.1 (afectada).
• ☐ He revisado los archivos app/Services/Verify.php y app/Services/Logic/Account/PasswordReset.php en busca de límites de intentos o invalidación de códigos.
• ☐ He restringido por red o firewall el acceso a los endpoints de password reset y verify login.
• ☐ He configurado un proxy inverso o WAF con limitación de tasa de solicitudes por IP y por usuario.
• ☐ He activado alertas de monitorización para detectar picos de solicitudes de verificación de código.
• ☐ He revisado los logs de autenticación en busca de patrones de fuerza bruta (IPs rotatorias, múltiples intentos).
• ☐ He evaluado la posibilidad de deshabilitar temporalmente la funcionalidad de restablecimiento de contraseña por SMS/email.
• ☐ He establecido un procedimiento para aplicar el parche oficial en cuanto esté disponible.
• ☐ He documentado las decisiones y acciones tomadas para futuras auditorías.

Preguntas frecuentes

¿Qué es CVE-2026-111675?

Es una vulnerabilidad crítica (CVSS 9.1) en course-tencent-cloud hasta la versión 2.0.1. Permite a un atacante no autenticado realizar fuerza bruta sobre códigos de verificación de 6 dígitos enviados por SMS o email, ya que estos códigos no se invalidan ni tienen límite de intentos. Si el atacante conoce el teléfono o email de la víctima, puede tomar el control de su cuenta.

¿Qué versión está afectada?

Todas las versiones de course-tencent-cloud hasta la 2.0.1 inclusive están afectadas, según los datos de CVE.org. No se ha publicado ninguna versión corregida en las fuentes consultadas.

¿Cómo se explota esta vulnerabilidad?

El atacante necesita conocer el número de teléfono o la dirección de email de la víctima. A continuación, activa el envío de un código de verificación y realiza múltiples intentos de adivinación del código de 6 dígitos, rotando su dirección IP para evitar bloqueos. Como el código no se invalida tras varios intentos fallidos, la probabilidad de éxito es alta.

¿Existe un parche oficial?

No. En el momento de la publicación de este análisis, no se ha publicado ninguna versión corregida ni un aviso oficial del fabricante. Se recomienda aplicar las mitigaciones compensatorias descritas anteriormente y monitorizar las fuentes oficiales.

¿Qué es CWE-307?

Es la clasificación de la debilidad subyacente: Improper Restriction of Excessive Authentication Attempts (restricción inadecuada de intentos de autenticación excesivos). Esta categoría cubre la falta de límites en el número de intentos de autenticación o verificación, lo que permite ataques de fuerza bruta.

¿Debo deshabilitar el restablecimiento de contraseña por SMS/email?

Si no puedes aplicar las mitigaciones de red o de código, y la plataforma no es crítica para tu operación, deshabilitar temporalmente esta funcionalidad reduce significativamente la superficie de ataque. Evalúa el impacto en tus usuarios antes de tomar esta decisión.