Vulnerabilidad en panel de Ctrlpanel-gg (CVE-2026-34241)

CtrlPanel es un software de facturación de código abierto para proveedores de alojamiento. Las versiones 1.1.1 y anteriores contienen una vulnerabilidad de cross-site scripting (XSS) almacenado en el sistema de notificación de respuesta de tickets. El contenido de respuesta no saneado ($newmessage) se almacena directamente en las cargas útiles de notificación de la base de datos y luego se renderiza sin escapar a través de la sintaxis {!! !!} de Blade en el navegador del destinatario. La falla existe tanto en App\Notifications\Ticket\Admin\AdminReplyNotification (activada cuando un usuario responde, dirigida a administradores) como en App\Notifications\Ticket\User\ReplyNotification (activada cuando un administrador responde, dirigida a usuarios), permitiendo la ejecución arbitraria de JavaScript en el contexto de la sesión de la víctima. Un atacante con pocos privilegios puede explotar esto para secuestrar sesiones de administrador, recolectar credenciales a través de avisos de inicio de sesión falsos o keyloggers, y escalar privilegios realizando acciones administrativas en nombre de la víctima. La ruta inversa también permite que un administrador malicioso o comprometido ataque a usuarios regulares de la misma manera. Este problema ha sido solucionado en la versión 1.2.0.