Vulnerabilidad en Chartbrew (CVE-2026-27605)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

06/03/2026

Última modificación:

10/03/2026

Descripción

Chartbrew es una aplicación web de código abierto que puede conectarse directamente a bases de datos y APIs y usar los datos para crear gráficos. Antes de la versión 4.8.4, la aplicación permite subir archivos (logotipos de proyectos) sin validar el tipo o el contenido del archivo. Confía en la extensión proporcionada por el usuario. Estos archivos se guardan en el directorio uploads/ y se sirven de forma estática. Un atacante puede subir un archivo HTML que contenga JavaScript malicioso. Dado que los tokens de autenticación probablemente se almacenan en localStorage (ya que se devuelven en el cuerpo de la API), este XSS puede llevar a la toma de control de la cuenta. Este problema ha sido parcheado en la versión 4.8.4.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno