CVE-2026-7191

Description de la Vulnerabilidad

La vulnerabilidad CVE-2026-7191 está relacionada con el uso inadecuado del paquete npm static-eval en la solución open source qnabot-on-aws. Las versiones afectadas son las 7.2.4 y anteriores. Esta vulnerabilidad permite a un administrador autenticado ejecutar código arbitrario dentro del contexto de ejecución de la función Lambda fulfillment, mediante el inyección de una expresión condicional artificiada a través de la interfaz Content Designer. El ataque aprovecha una manipulación de los prototipos de JavaScript para evitar el sandbox de evaluación de expresiones, lo que permite acceso no autorizado a recursos del entorno backend, como las variables de entorno de Lambda y la base de datos OpenSearch. La calificación CVSS es 7.2, lo que indica un impacto significativo en sistemas afectados.

Sistemas Afectados

La vulnerabilidad afecta directamente a las versiones de qnabot-on-aws con número de versión 7.2.4 y versiones anteriores. Esta solución es una implementación open source que se integra en entornos cloud como AWS, lo que la convierte en un punto de vulnerabilidad crítico para organizaciones que dependen de esta herramienta.

Impacto y Explotabilidad

El impacto de esta vulnerabilidad es alto debido a su potencial de ejecutar código arbitrario en entornos sensibles. Un atacante con acceso privilegiado (como un administrador autenticado) puede explotar la vulnerabilidad para: - Acceder a variables de entorno críticas de Lambda. - Interactuar directamente con recursos del motor OpenSearch, potencialmente comprometiendo datos sensibles. - Ejecutar código malicioso en el contexto de la función Lambda, lo que podría llevar a la corrupción de datos o al robo de información. La explotabilidad requiere un acceso previo al sistema (como un administrador autenticado), lo que limita su aprovechamiento por atacantes no autorizados. Sin embargo, el mecanismo de bypass del sandbox mediante manipulación de prototipos es un vector crítico para la vulnerabilidad.

Indicadores de Compromiso (IOCs)

No hay Indicadores de Compromiso publicos disponibles.

Mitigación y Parches

La mitigación más efectiva es actualizar qnabot-on-aws a versiones posteriores a 7.2.4, donde se corrija el problema de evaluación insegura del paquete static-eval. Además, las organizaciones deben: - Revisar periódicamente las dependencias de sus soluciones open source. - Implementar controles estrictos de acceso a interfaces como Content Designer para prevenir la inyección de código malicioso. - Monitorear el uso de Lambdas y recursos de OpenSearch para detectar actividades anómalas, como accesos no autorizados a variables de entorno o consultas no normales. La falta de parches oficiales en versiones anteriores a 7.2.4 sugiere que las organizaciones deben priorizar la actualización inmediata si usan esta solución en producción.