Server-Side Request Forgery en la exportación a PDF de Wegow
Funcionalidad de exportación a PDF de gráficos de ventas de entradas del portal backoffice.wegow.com.
INCIBE ha coordinado la publicación de una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de Wegow de Wegow Technologies. La vulnerabilidad ha sido descubierta por Cosme Vázquez Tomé.
A esta vulnerabilidad se le ha asignado el siguiente identificador CVE. La puntuación base y el vector CVSS v4.0 están pendientes de validación:
- CVE-2026-101300: CVSS V4: 0 7.1 | CVSS:4.0 AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:L/SI:L/SA:N | CWE-918
No hay solución reportada por el momento.
CVE-2026-101300: Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de gráficos de ventas de entradas de Wegow. Según el informe, un usuario autenticado con una cuenta de promotor puede manipular el parámetro <svg> de la solicitud POST generada al seleccionar Descargar PDF. El contenido se procesa en el servicio export.highcharts.com, que realiza peticiones HTTP a recursos externos controlados por el atacante e incorpora sus respuestas al PDF generado. El comportamiento descrito permite utilizar el servicio de exportación como intermediario para dichas peticiones.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-101300 | Alta | No | Wegow |
