Mage OSS tiene un parche sin versión para el CVE-2026-111823
La falla crítica permite crear sesiones sin autenticar en versiones hasta la 0.9.80; el arreglo está en el código, pero no en una versión publicada.
Mage OSS (mage-ai), que sirve para armar flujos de datos y es de código abierto, integró el 16 de octubre en su repositorio de GitHub la solicitud de cambios #6204, "Reject unverified OAuth session identities". Corrige una vulnerabilidad crítica que se publicó un día después con el identificador CVE-2026-111823, según The Hacker Wire, un agregador que reproduce el registro.
OAuth es el mecanismo que permite iniciar sesión con la cuenta de otro servicio. La descripción dice que, ante un proveedor OAuth que no reconocía, el servidor seguía adelante con la creación de la sesión en vez de negar el acceso, de modo que se podía abrir una sesión sin autenticar. La falla se reportó en privado.
| Dato | Detalle |
|---|---|
| CVE | CVE-2026-111823 |
| Producto | Mage OSS |
| Versiones afectadas | La 0.9.80 y las anteriores (código previo al commit 76c4f46) |
| Parche | Solicitud #6204, integrada el 16 de octubre; sin versión publicada que la incluya |
La calificación CVSS 3.1 es 9.8, crítica: se explota por red, sin privilegios ni acción del usuario. El arreglo hace que la creación de sesión falle de forma segura. Ahora el servidor corta la petición antes de buscar al usuario o emitir una sesión en cuatro casos: proveedor desconocido, credenciales incompletas, fallo del proveedor o respuesta sin identidad.
La página de versiones de GitHub lista como la más reciente la 0.9.80, que cae dentro del rango afectado. La solicitud #6204 no dice en qué versión llegará el arreglo. Aquí no se describe cómo explotarla.
Según The Hacker Wire, la vulnerabilidad no figura en el catálogo de explotadas de CISA, la agencia estadounidense de ciberseguridad, y su probabilidad de explotación a 30 días (EPSS) es de 0.37 %. Tampoco detectó una prueba de concepto pública, lo que no prueba que no exista.
Quedan por confirmar tres cosas: la versión que traiga el parche, que se sabrá en las notas de versión del proyecto; el registro del NVD, el catálogo oficial estadounidense, que no se pudo leer, así que calificación y versiones vienen del agregador; y una solicitud relacionada, la #6205, que no se revisó.
