CVE-2026-111793: Vulnerabilidad de Transferencia Incorrecta de Recursos Entre Esferas en Openwave Messaging Limited Webtop Media Transcoder

Japan Vulnerability Notes dice que para CVE-2026-111793, "el desarrollador afirma que se han observado ataques que explotan la vulnerabilidad."[3] La asesoría de JVN advierte que "si un atacante autenticado carga un archivo especialmente diseñado siguiendo pasos específicos, se puede obtener información sensible."[3]Según la descripción de CVE publicada en OpenCVE, Openwave Webtop Media Transcoder no aplica las restricciones de tipo de archivo definidas por el administrador para restringir los tipos de archivo a convertir.[4] SecurityOnline informa que Webtop es la plataforma de correo web de Openwave, utilizada por proveedores de servicios[5], y que el transcodificador convierte los archivos adjuntos para que los usuarios puedan previsualizarlos en el navegador.[5]El registro de CVE de ThreatINT enumera la falla como "MEDIA: 4.3"[6] en la escala CVSS, clasificada como CWE-669 Transferencia Incorrecta de Recursos Entre Esferas[6].SecurityWeek informa que CISA agregó los defectos de seguridad de Openwave y Cisco a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) el 10 de noviembre, instando a las agencias federales a parchear ambos antes del 24 de noviembre.[1]Según Suped, el aviso de seguridad de Openwave y el CVE ya eran públicos en octubre[2], y una versión corregida ya estaba disponible.[2]SecurityOnline informa que la falla afecta todas las versiones anteriores a 1.1.22.0[5], y que Openwave recomienda actualizar a "la última versión compatible de Media Server 2.0."[5] El medio agrega que los administradores deben contactar a Openwave para obtener detalles del parche, según recomienda JPCERT/CC.[5]