Múltiples vulnerabilidades en el panel de administración de Microweber
Fecha de publicación 23/09/2026
Identificador
INCIBE-2026-661
Importancia
4 - Alta
Recursos Afectados
Panel de administración de Microweber en la versión v2.0.19.
Descripción
INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad alta y otra de severidad media, que afectan a Microweber, creador de sitios web con tienda online. Las vulnerabilidades han sido descubiertas por David Aparicio Salcedo.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-5695: CVSS v4.0: 8.4 | CVSS AV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-434
- CVE-2026-5696: CVSS v4.0: 5.9 | CVSS AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-79
Solución
No hay solución reportada por el momento.
Detalle
- CVE-2026-5695: vulnerabilidad de carga arbitraria de archivos debido a la falta de validación adecuada en los formularios de subida. Esto permite a usuarios autenticados alojar archivos en el servidor sin restricciones. Un atacante podría explotar este fallo para ejecutar código malicioso de forma remota (demostrado mediante la carga del archivo de prueba EICAR), lo que podría derivar en el compromiso total del sistema.
- CVE-2026-5696: Cross-Site Scripting (XSS) reflejado en Microweber. La vulnerabilidad se encuentra en el parámetro group del endpoint '/admin/settings' del panel de administración. Una explotación exitosa permite a un atacante engañar a un usuario autenticado para que ejecute código JavaScript malicioso en su navegador. Esto facilita al atacante la realización de acciones sin el consentimiento de la víctima, el robo de información confidencial o el secuestro de la sesión del usuario.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-5695 | Alta | No | Microweber |
| CVE-2026-5696 | Media | No | Microweber |
Listado de referencias
Etiquetas
