Múltiples vulnerabilidades en FacturaScripts
Fecha de publicación 20/10/2026
Identificador
INCIBE-2026-759
Importancia
3 - Media
Recursos Afectados
FacturaScripts:2025.61
Descripción
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad media, que afectan a FacturaScripts, un software libre de contabilidad y facturación. Las vulnerabilidades han sido descubiertas por daffi1238 && nandoll.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-11959 y CVE-2026-11960: CVSS v4.0: 6.9| CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-79
Solución
Ambas vulnerabilidades han sido solucionadas en los commits:
Detalle
- CVE-2026-11959: Cross-Site Scripting (XSS) almacenado en FacturaScripts, versión 2025.61 causada por una falta de validación o sanitización adecuada de la entrada del usuario en los campos ‘ciudad’ y ‘provincia’ en el endpoint ‘ListAlmacen’. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de la víctima (usuario de la aplicación) o escalar privilegios de usuario normal a administrador mediante la ejecución de código JavaScript específicamente diseñado, comprometiendo la confidencialidad del sistema o secuestrando la sesión (incluso con cookies httpOnly mediante la extracción de tokens CSRF).
- CVE-2026-11960: enumeración de usuarios no autenticados en FacturaScripts, versión 2025.61. La aplicación devuelve respuestas diferentes al intentar iniciar sesión con un nombre de usuario válido frente a uno no válido. Un atacante no autenticado podría identificar sistemáticamente los nombres de usuario válidos examinando las variaciones en las respuestas de la aplicación, como cambios en el tiempo de respuesta, discrepancias entre los mensajes de error o diferencias en los códigos HTTP. Un exploit exitoso permite al atacante recopilar una lista de cuentas de usuario válidas. Esta lista se podría utilizar para realizar ataques de fuerza bruta dirigidos, pulverización de contraseñas, relleno de credenciales o campañas de ingeniería social contra las cuentas confirmadas.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-11959 | Media | No | FacturaScripts |
| CVE-2026-11960 | Media | No | FacturaScripts |
Listado de referencias
Etiquetas
