¿Qué es la vulnerabilidad CVE-2026-120314 en Network-AI?
CVE-2026-120314 es una vulnerabilidad crítica de falta de autenticación con una puntuación CVSS de 7.3 que afecta al software Network-AI. Tal como analizamos la vulnerabilidad crítica en otros ecosistemas, los fallos de control de acceso suelen comprometer la confidencialidad y disponibilidad de los servicios.
Este problema comparte similitudes operativas con incidencias previas, tales cuando revisamos la escalada local o cuando estudiamos vulnerabilidades de privilegios en componentes de software empresariales.
¿A quién afecta y cómo se explota el fallo en A2AServer?
El fallo se localiza en la clase A2AServer de Network-AI, afectando a todas las versiones desde la 5.14.0 hasta antes de la 5.15.5 cuando no se ha configurado ningún secreto de autenticación. Los atacantes sin credenciales pueden enviar peticiones JSON-RPC para ejecutar, leer y cancelar tareas.
Los detalles técnicos completos han sido documentados por los mantenedores y analistas en la [[https://github.com/Jovancoding/Network-AI/security/advisories/GHSA-qvf5-9prv-7r9c|referencia técnica en github.com]] y en el portal de [[https://www.vulncheck.com/advisories/network-ai-5.14.0-before-5.15.5-missing-authentication-in-a2aserver-task-operations|referencia técnica en vulncheck.com]]. Asimismo, se puede consultar información adicional en [[https://nvd.nist.gov/vuln/detail/CVE-2026-120314|CVE-2026-120314 (CVSS 7.3)]] y en [[https://www.cve.org/CVERecord?id=CVE-2026-120314|CVE-2026-120314 en CVE.org]].
¿Cómo me protejo?
Es fundamental aplicar medidas correctoras de inmediato para evitar el acceso no autorizado a las operaciones de tareas gestionadas por el servidor.
Sigue estos pasos para proteger tus despliegues afectados:
- Actualiza Network-AI a la versión 5.15.5 o superior de forma prioritaria.
- Configura un secreto de autenticación robusto si no utilizas una versión parcheada.
- Revisa los registros de acceso para detectar solicitudes JSON-RPC sospechosas a los endpoints de tareas.