Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Canarytokens de Thinkst Applied Research (CVE-2026-10729)

Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)
Fecha de publicación:
03/06/2026
Última modificación:
22/07/2026

Descripción

Una vulnerabilidad de inyección HTML en el correo electrónico de notificación para los Canarytokens de &amp;#39;Redirección Lenta&amp;#39; y &amp;#39;Sitio Web Clonado&amp;#39; existe en Thinkst Applied Research Canarytokens, lo que permite la manipulación de la interfaz, cross-site scripting (XSS) en clientes de correo electrónico que renderizan correos HTML.<br /> <br /> Este problema afecta a Canarytokens: desde la etiqueta de Docker sha-c42435e anterior a sha-bfda4df, desde el commit de Git c42435e anterior a bfda4df.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:P/AU:N/RE:L/U:Green CVSS v4.0 Severidad y Métricas:

Puntuación base: 1.20 BAJA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:P/AU:N/RE:L/U:Green

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Activo
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Bajo
Availability (SA): Ninguno
Automatable (AU): No
Vulnerability Response Effort (RE): Bajo
Provider Urgency (U): Verde
Exploit Maturity (E): POC

Puntuación base 4.0
1.20
Gravedad 4.0
BAJA

Referencias a soluciones, herramientas e información