CVE-2026-109394: Bypass crítico en thirty bees

Qué es la vulnerabilidad

CVE-2026-109394 es una vulnerabilidad de bypass de autenticación clasificada como CWE-639 (Bypass de autorización mediante clave controlada por el usuario). El fallo se localiza en el método PasswordController::resolveCustomer() del controlador frontal de thirty bees, específicamente en las líneas 182-200 del archivo controllers/front/PasswordController.php en la versión 1.7.0.

El problema técnico radica en que el controlador de restablecimiento de contraseña no valida correctamente la procedencia del token de recuperación. En condiciones normales, el sistema debería distinguir entre un token emitido para un usuario registrado y un token emitido para una compra como invitado. Sin embargo, la implementación vulnerable permite que un token de invitado (guest secure key) sea utilizado para restablecer la contraseña de una cuenta de cliente registrada.

El vector de ataque es el siguiente:

1. El atacante realiza un pedido como invitado utilizando la dirección de correo electrónico de la víctima (un cliente registrado en la tienda).
2. El sistema genera un token de invitado (guest secure key) asociado a ese pedido.
3. El atacante utiliza ese token de invitado en el proceso de restablecimiento de contraseña, que el controlador vulnerable acepta como válido.
4. El atacante establece una nueva contraseña para la cuenta de la víctima y obtiene acceso completo a la misma.

Esta vulnerabilidad es especialmente peligrosa porque no requiere autenticación previa y el atacante solo necesita conocer la dirección de correo electrónico de la víctima, un dato que suele ser fácilmente obtenible. La condición previa es que la tienda tenga habilitada la opción de compra como invitado (guest checkout), una funcionalidad común en muchas tiendas online para reducir la fricción en el proceso de compra.

El fabricante ya ha publicado un commit de corrección (referencia 66410fd2a7ca9d1121a4b9551f59637ae6e4bcf1) que aborda esta vulnerabilidad. Se recomienda encarecidamente a todos los administradores de tiendas thirty bees que actualicen a la versión corregida o apliquen las mitigaciones recomendadas por el fabricante lo antes posible.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-109394 afecta a la plataforma de comercio electrónico thirty bees. Según los datos publicados por CVE.org, todas las versiones del producto hasta la 1.7.0 inclusive están afectadas. El fabricante no ha publicado una lista de versiones específicas adicionales en las fuentes consultadas.

No se ha publicado información sobre versiones anteriores a 1.7.0 que pudieran estar exentas del problema. Se recomienda revisar el aviso oficial del fabricante para confirmar el alcance exacto y la disponibilidad de una versión corregida.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una severidad CRITICAL y una puntuación CVSS v4.0 de 9.1. El vector asociado es CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N, lo que indica un ataque remoto sin necesidad de autenticación previa, con alto impacto en la confidencialidad e integridad de los datos.

El fallo reside en el controlador PasswordController::resolveCustomer() y permite a un atacante no autenticado restablecer la contraseña de clientes registrados mediante el uso de tokens de cuenta de invitado. El escenario de explotación descrito en las fuentes es el siguiente:

1. El atacante realiza un pedido como invitado utilizando el correo electrónico de la víctima.
2. Obtiene la clave segura de invitado asociada a ese pedido.
3. Utiliza esa clave para restablecer la contraseña de la cuenta registrada de la víctima.
4. Accede a la cuenta y toma el control de la misma.

Este vector de ataque requiere que el checkout de invitado esté habilitado en la tienda, una configuración común en muchas plataformas de comercio electrónico. El impacto funcional se traduce en la toma de control total de la cuenta del cliente, lo que puede derivar en acceso a datos personales, historial de pedidos, direcciones almacenadas y, potencialmente, métodos de pago guardados. La clasificación CWE-639 (Autorización mediante clave controlada por el usuario) confirma la naturaleza del problema: el sistema confía en un parámetro que el atacante puede manipular.

Dado el alcance de la plataforma y la facilidad relativa de explotación una vez habilitado el checkout de invitado, el riesgo operativo y reputacional para las tiendas que utilicen thirty bees es elevado.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa en entornos reales. No se mencionan campañas, malware asociado ni uso en ataques masivos. Sin embargo, la existencia de un análisis técnico detallado publicado por investigadores (referenciado en el aviso de VulnCheck) y la disponibilidad del commit de corrección sugieren que el vector de ataque ha sido validado técnicamente. Se recomienda asumir que la vulnerabilidad es explotable y aplicar las mitigaciones con carácter urgente.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos aparece vacío. No se deben inventar IOC; si se detectan actividades anómalas en los registros de autenticación o en pedidos de invitado con correos de clientes registrados, se recomienda investigar manualmente esos eventos como posible señal de intento de explotación.

Cómo comprobar si estás afectado

Para determinar si tu instalación de thirty bees es vulnerable a CVE-2026-109394, debes verificar la versión exacta del software y la configuración del modo de invitado. Según los datos publicados, todas las versiones hasta 1.7.0 inclusive están afectadas.

Pasos para la verificación

1. Identifica la versión instalada: Accede al panel de administración de thirty bees y consulta la sección de información del sistema o el archivo de configuración principal. La versión debe aparecer en algún lugar visible del panel o en el pie de página de la administración.
2. Comprueba el estado del checkout de invitado: Ve a Preferencias → Pedidos y verifica si la opción «Permitir pedidos como invitado» está habilitada. Esta es una condición necesaria para que el ataque sea explotable.
3. Revisa el controlador afectado: Si tienes acceso al código fuente, examina el archivo controllers/front/PasswordController.php y busca la función resolveCustomer(). Las líneas 182-200 contienen la lógica vulnerable según las referencias técnicas publicadas.
4. Consulta el aviso del fabricante: Revisa el repositorio oficial de thirty bees en GitHub para ver si se ha publicado un aviso o una versión corregida. La referencia al commit 66410fd2a7ca9d1121a4b9551f59637ae6e4bcf1 sugiere que existe un parche, pero debes confirmar su disponibilidad y aplicabilidad en el repositorio oficial.

Importante: Si tu versión es igual o anterior a 1.7.0 y el checkout de invitado está activo, asume que eres vulnerable y aplica las medidas de mitigación descritas a continuación.

Mitigación y actualización

La vulnerabilidad CVE-2026-109394 permite a un atacante no autenticado realizar una toma de control de cuenta mediante un bypass de autenticación. El vector de ataque requiere que el checkout de invitado esté habilitado, por lo que la mitigación inmediata es desactivar esta funcionalidad mientras se aplica el parche oficial.

Medidas de mitigación inmediatas

• Desactiva el checkout de invitado: En el panel de administración, navega a Preferencias → Pedidos y desmarca la opción que permite realizar pedidos sin crear una cuenta. Esto elimina la condición necesaria para el ataque.
• Supervisa los pedidos con correos electrónicos de clientes registrados: Revisa los pedidos recientes realizados como invitado y verifica si alguno utiliza el correo electrónico de un cliente registrado. Si encuentras coincidencias, investiga si se ha producido un restablecimiento de contraseña no autorizado.
• Revisa los registros de actividad: Examina los logs del servidor y de la aplicación en busca de solicitudes sospechosas al controlador PasswordController o intentos de restablecimiento de contraseña inusuales.

Actualización del software

El fabricante ha publicado un commit en el repositorio oficial de thirty bees que aborda esta vulnerabilidad. Sin embargo, no se ha confirmado una versión estable corregida en las fuentes consultadas. Se recomienda:

1. Visitar el repositorio oficial de thirty bees y comprobar si existe una versión posterior a 1.7.0.
2. Si el commit de corrección está disponible pero no hay una versión empaquetada, valora aplicar el parche manualmente siguiendo las indicaciones del fabricante.
3. Antes de actualizar, realiza una copia de seguridad completa de la base de datos y los archivos de la instalación.

Checklist para administradores

• ☐ He identificado la versión exacta de thirty bees instalada en mi servidor.
• ☐ He verificado si el checkout de invitado está habilitado en la configuración de pedidos.
• ☐ He desactivado el checkout de invitado como medida de mitigación inmediata.
• ☐ He revisado los pedidos recientes realizados como invitado buscando correos de clientes registrados.
• ☐ He comprobado en el repositorio oficial si existe una versión corregida o un parche disponible.
• ☐ He revisado los registros de actividad en busca de intentos de restablecimiento de contraseña sospechosos.
• ☐ He notificado a los clientes registrados sobre el riesgo y recomendado cambiar sus contraseñas.
• ☐ He programado la aplicación del parche o actualización en cuanto esté disponible.
• ☐ He realizado una copia de seguridad completa antes de cualquier cambio en el sistema.

Preguntas frecuentes

¿Qué es CVE-2026-109394?

Es una vulnerabilidad crítica (CVSS 9.1) de bypass de autenticación en thirty bees hasta la versión 1.7.0. Permite a un atacante no autenticado restablecer la contraseña de un cliente registrado utilizando tokens de cuenta de invitado, lo que facilita la toma de control de la cuenta.

¿Cómo se explota esta vulnerabilidad?

El atacante realiza un pedido como invitado utilizando el correo electrónico de la víctima. Con el checkout de invitado habilitado, el sistema genera una clave segura que el atacante puede utilizar para restablecer la contraseña de la cuenta registrada asociada a ese correo electrónico.

¿Qué versión de thirty bees está afectada?

Todas las versiones hasta la 1.7.0 inclusive están afectadas, según los datos publicados por CVE.org y NVD. No se ha confirmado ninguna versión corregida en las fuentes consultadas.

¿Qué es CWE-639?

Es la clasificación de la debilidad subyacente: «Bypass de autorización mediante clave controlada por el usuario». Esto significa que el sistema utiliza un identificador proporcionado por el usuario sin validar adecuadamente que este tenga permisos para realizar la acción solicitada.

¿Debo desactivar el checkout de invitado?

Sí, es la medida de mitigación más efectiva mientras no se aplique un parche. Sin el checkout de invitado, el atacante no puede obtener el token necesario para explotar la vulnerabilidad.

¿Cómo puedo saber si mi tienda ha sido comprometida?

Revisa los pedidos realizados como invitado que utilicen correos electrónicos de clientes registrados, examina los registros de actividad en busca de restablecimientos de contraseña inusuales y comprueba si algún cliente ha reportado problemas de acceso a su cuenta.