Vulnerabilidad en shoutbox de MajorDoMo (CVE-2026-27178)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
18/02/2026
Última modificación:
19/02/2026
Descripción
MajorDoMo (también conocido como Major Domestic Module) contiene una vulnerabilidad de cross-site scripting (XSS) almacenado a través de la inyección de parámetros de método en la shoutbox. El endpoint /objects/?method= permite la ejecución no autenticada de métodos almacenados con parámetros controlados por el atacante. Métodos predeterminados como ThisComputer.VolumeLevelChanged pasan el parámetro VALUE proporcionado por el usuario directamente a la función say(), la cual almacena el mensaje en bruto en la tabla de la base de datos shouts sin escapar. El widget de la shoutbox renderiza los mensajes almacenados sin sanitización tanto en el código de renderizado PHP como en las plantillas HTML. Debido a que el widget del panel de control se actualiza automáticamente cada 3 segundos, el script inyectado se ejecuta automáticamente cuando cualquier administrador carga el panel de control, lo que permite el secuestro de sesión a través de la exfiltración de cookies.
Impacto
Puntuación base 4.0
5.30
Gravedad 4.0
MEDIA
Puntuación base 3.x
7.20
Gravedad 3.x
ALTA