CVE-2026-29199
¿Qué es CVE-2026-29199?
phpBB anterior a 3.3.16 es vulnerable a la inyección de encabezado de host que puede provocar el envenenamiento del enlace de restablecimiento de contraseña. Cuando force_server_vars está deshabilitado, el nombre de host del servidor se puede extraer del encabezado del host HTTP que se utiliza para generar la URL del enlace de restablecimiento de contraseña. Un atacante que pueda manipular el encabezado del Host (por ejemplo, a través de una configuración de host mal configurada o una falta de validación del encabezado por parte del servidor web) puede hacer que los correos electrónicos de restablecimiento de contraseña contengan un enlace que apunte a un dominio controlado por el atacante, lo que podría llevar a la apropiación de la cuenta.
Preguntas frecuentes
CVE-2026-29199 tiene una puntuación CVSS de N/D/10, clasificada como Desconocido. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-29199 obtiene N/D/10 (Desconocido). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-29199 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.