Aviso de CISA: Vulnerabilidad de autorización faltante en la API de PayRange (CVE-2026-18965)

CISA publicó un aviso el 25 de agosto de 2026 sobre una vulnerabilidad (CVE-2026-18965) en la API de PayRange, un producto utilizado en instalaciones comerciales. La vulnerabilidad se debe a la falta de autorización en los endpoints de administración, lo que permite que detalles detallados de cada dispositivo en la red de PayRange sean accesibles públicamente con o sin cuenta. La explotación exitosa podría permitir a un atacante remoto, autenticado o no autenticado, divulgar información confidencial, modificar arbitrariamente el dispositivo para causar denegación de servicio o alterar la imagen mostrada en el dispositivo. La puntuación base CVSS es 8.8 (Alta) según CVSS v3.1 y 8.7 (Alta) según CVSS v4.0. PayRange no ha respondido a las solicitudes de CISA para mitigar la vulnerabilidad. CISA recomienda medidas defensivas como minimizar la exposición de la red, usar firewalls y aislar las redes de sistemas de control. No se ha informado de explotación pública conocida en este momento.