¿Qué es la vulnerabilidad CVE-2026-120324 en Aklivity Zilla?

Se ha descubierto una vulnerabilidad crítica de salto de directorio catalogada como CVE-2026-120324, con una puntuación CVSS de 8.3. El fallo afecta directamente a la función Path.resolve dentro del archivo FileSystemServerFactory del componente http-filesystem Binding de Aklivity Zilla.

El problema se origina debido a una manipulación indebida en el argumento params, lo que provoca una brecha de path traversal. Los atacantes pueden aprovechar este vector de forma remota sin necesidad de autenticación previa.

¿A quién afecta este fallo de path traversal?

Este fallo de seguridad impacta a las versiones de Aklivity Zilla hasta la 1.3.4, así como a las ramas hasta la 2.4.7 y la versión 2.5.0-rc2. Cualquier despliegue que utilice el componente http-filesystem Binding en estas versiones se encuentra expuesto.

Dado que ya se han publicado exploits de prueba de concepto accesibles al público en plataformas externas como vulnerabilidad crítica de escalada de privilegios, el riesgo de ataques automatizados o dirigidos es elevado.

¿Cómo me protego contra esta vulnerabilidad?

Para garantizar la seguridad de la infraestructura y mitigar la amenaza de forma definitiva, es fundamental aplicar las actualizaciones proporcionadas por los mantenedores del proyecto. Como medida preventiva adicional, revise los permisos de acceso a los directorios expuestos mediante vulnerabilidad crítica de escalada local.

Siga los pasos detallados a continuación para actualizar el componente afectado y evitar posibles accesos no autorizados a archivos del sistema.

  1. Compruebe la versión actual de Aklivity Zilla instalada en sus servidores para determinar si es vulnerable.
  2. Actualice el software a la versión 2.5.0-rc3 o superior mediante su gestor de dependencias.
  3. Aplique el parche oficial identificado con el hash 46a8b15cbea157f7ae8b7cb865809a02fd6b1988 si compila desde el código fuente.
  4. Reinicie los servicios dependientes y compruebe los registros para confirmar el correcto funcionamiento de http-filesystem Binding.