Vulnerabilidad en FacturaScripts de NeoRazorX (CVE-2026-27964)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

18/05/2026

Última modificación:

24/07/2026

Descripción

FacturaScripts es un software de contabilidad y facturación de código abierto. Las versiones 2025.7 y anteriores contienen una vulnerabilidad de cross-site scripting (XSS) reflejado a través del parámetro de cookie fsNick. La aplicación refleja el valor de la cookie directamente en el HTML sin sanitización. La cookie fsNick se renderiza en el DOM sin codificación. Aunque el servidor rechaza la sesión modificada y fuerza un cierre de sesión, el HTML que contiene la carga útil llega primero al navegador. Esto permite que el script se ejecute inmediatamente al cargar, superando eficazmente la redirección. Este problema ha sido solucionado en la versión 2025.8.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.90 BAJA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

3.90

Gravedad 3.x

BAJA

Vulnerabilidad en FacturaScripts de NeoRazorX (CVE-2026-27964)

Descripción

Impacto

Referencias a soluciones, herramientas e información