Cross-Site Scripting (XSS) en AI Chatbot Platform de 1millionbot
AI Chatbot Platform (SaaS) de 1millionbot.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad baja que afecta a AI Chatbot Platform (SaaS) de 1millionbot, una solución tecnológica que permite crear y desplegar asistentes virtuales conversacionales y agentes autónomos orientados a empresas y administraciones públicas. La vulnerabilidad ha sido descubierta por Alejandro González Martínez.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-91921: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de 1millionbot.
CVE-2026-91921: vulnerabilidad de Cross-Site Scripting (XSS) debido a una neutralización inadecuada de la entrada de datos en el motor de renderizado del lado del cliente de 1millionbot AI Chat Platform. Un usuario remoto no autenticado puede provocar el renderizado de hipervínculos externos en la interfaz web mediante el envío de mensajes que contienen sintaxis Markdown y determinados bloques de contenido no depurados. El impacto se encuentra limitado a la propia sesión interactiva del usuario, sin que se haya identificado compromiso de infraestructura interna, acceso a datos de terceros ni afectación a paneles administrativos.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-91921 | Media | No | 1millionbot |
