¿Qué es la vulnerabilidad CVE-2026-120447 en HotGo?
CVE-2026-120447 identifica una vulnerabilidad crítica de bypass de autenticación que afecta a las versiones de HotGo comprendidas entre la 2.8.4 y la 2.15.1. Con una puntuación CVSS de 8.1, este fallo de tipo CWE-287 permite que actores maliciosos comprometan la seguridad de la plataforma.
Este tipo de fallos en la lógica de control de acceso pueden compararse con incidentes como la vulnerabilidad en la librería zip de Rust o problemas de control de privilegios similares a CVE-2026-58946 en componentes de software, donde la falta de validación adecuada expone los sistemas.
¿Cómo se produce el bypass de autenticación?
El problema radica en que un atacante no autenticado puede elegir el código de verificación de inicio de sesión por SMS enviando un campo Code específico a la ruta /admin/sms/send. Al conocer el número de móvil de una víctima, el atacante define un código conocido y se autentica en /admin/site/mobileLogin.
De este modo, se logra la toma de control total de cuentas de usuario, incluyendo aquellas con permisos de administrador en la aplicación, lo que representa un riesgo operativo severo.
¿Cómo me protego?
Para mitigar este fallo de seguridad y proteger los despliegues activos frente a posibles ataques que conduzcan a escaladas de privilegios similares a CVE-2026-58957 en controladores de actividad, los administradores deben revisar el código fuente y aplicar el parche de seguridad oficial.
Siga los siguientes pasos para asegurar su instalación de HotGo:
- Identifique si la versión de HotGo en su servidor se encuentra entre la 2.8.4 y la 2.15.1.
- Consulte el repositorio oficial y aplique el parche de código correspondiente al commit de corrección.
- Valide que el servidor procese los códigos SMS de forma interna sin aceptar modificaciones del campo Code por parte del cliente.
- Reinicie los servicios de la aplicación para asegurar que la nueva lógica de autenticación esté activa.