Cross-Site Scripting (XSS) almacenado en Media Manager de TastyIgniter
TastyIgniter v4.3.0.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a Media Manager de TastyIgniter, sistema de gestión de restaurantes en línea. La vulnerabilidad ha sido descubierta por Jonas Fernández.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-14856: CVSS v4.0: 6.3 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H | CWE-79
La vulnerabilidad ha sido corregida por el fabricante. Se recomienda actualizar a la última versión disponible.
CVE-2026-14856: Cross-Site Scripting (XSS) almacenado en la funcionalidad de subida de archivos del Media Manager en TastyIgniter v4.3.0, causada por una validación y sanitización insuficientes de los archivos SVG. Un usuario autenticado con bajos privilegios puede subir un archivo SVG malicioso que contenga código JavaScript. Cuando un administrador visualiza dicho archivo, el código se ejecuta en el contexto de su navegador. Al encadenar este fallo con un ataque de falsificación de peticiones en sitios cruzados (CSRF), el atacante puede extraer el token CSRF del administrador y ejecutar acciones no autorizadas —como la modificación de credenciales—, logrando así el compromiso total de la cuenta administrativa.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-14856 | Media | No | TastyIgniter |
