Cross-Site Scripting (XSS) almacenado en PlanManager de RLE NOVA
- planmanager.es.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a PlanManager, una plataforma open-source de chat en vivo. La vulnerabilidad ha sido descubierta por Fenix08.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-1469: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-79
- La vulnerabilidad reportada ya no es explotable, dado que la página web planmanager.es ha sido eliminada en octubre de 2025.
CVE-2026-1469: Cross-Site Scripting (XSS) almacenado en PlanManager de RLE NOVA. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima inyectando una carga maliciosa a través de los parámetros 'comentario' y 'marca' en '/index.php'. La carga útil es almacenada por la aplicación y posteriormente se muestra sin la debida desinfección cuando otros usuarios acceden a ella. Esta vulnerabilidad puede ser explotada para robar datos confidenciales del usuario, como cookies de sesión, o para realizar acciones en nombre del usuario.
