Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations
Configuración de tiempo de ejecución insegura en PHP-CGI/PHP-FPM.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la configuración de PHP-CGI/PHP-FPM de ICT Innovations, paquete multiusuario basado en la web. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-7190: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de ICT Innovations en marzo de 2026.
CVE-2026-7190: vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejada en el software ICTBroadcast, que afecta al entorno de demostración. La vulnerabilidad se encuentra en el endpoint ‘login.php’, cuyo parámetro ‘editForm[extension_username]’ se refleja en la respuesta sin el filtrado adecuado. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de la víctima una vez que esta acceda a la URL maliciosa.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-7190 | Media | No | ICT Innovations |
