Múltiples vulnerabilidades en TSplus Remote Access
INCIBE-CERT avisos · 14 oct, 10:34
INCIBE ha coordinado la publicación de tres vulnerabilidades en TSplus Remote Access (versión 19.20.3.10): dos de severidad alta (CVSS 8.7) que permiten acceso no autenticado a recursos internos y bypass de autenticación multifactor, y una de severidad media (CVSS 5.4) en scripts de inicio de sesión. El fabricante ha corregido todas las vulnerabilidades en la última versión disponible.
CVE-2026-108070 es una vulnerabilidad de control de acceso incorrecto en el servidor web que permite a atacantes remotos no autenticados acceder a recursos internos protegidos manipulando rutas a través del endpoint /socket.io/JWN/, eludiendo las restricciones previstas.
CVE-2026-108071 afecta al mecanismo de autenticación multifactor (MFA), permitiendo que un atacante remoto con credenciales válidas del primer factor pueda eludir la verificación del segundo factor debido a que el flujo de autenticación no valida correctamente el resultado de la MFA, permitiendo completar el inicio de sesión sin un token válido del segundo factor.
CVE-2026-108072 es una vulnerabilidad de permisos incorrectos en scripts compartidos de inicio de sesión ubicados en el directorio de temas, que permite a usuarios locales sin privilegios suficientes modificar archivos críticos como autostart1.tscr.
Puntos clave
- CVE-2026-108070: CVSS 8.7, acceso remoto no autenticado a recursos internos (CWE-552)
- CVE-2026-108071: CVSS 8.7, bypass de MFA por autenticación incorrecta (CWE-287)
- CVE-2026-108072: CVSS 5.4, permisos incorrectos en scripts de inicio (CWE-276)
- Afecta a TSplus Remote Access versión 19.20.3.10 y posiblemente anteriores
- Descubierta por Javier Medina Munuera, identificador INCIBE-2026-741