Vulnerabilidad en ElkArte Forum (CVE-2026-72553)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

11/08/2026

Última modificación:

24/10/2026

Descripción

Una vulnerabilidad de cross-site scripting almacenado en ElkArte Forum 2.0 Beta 1 permite a cualquier miembro registrado inyectar JavaScript persistente en los campos de perfil cust_blurb y cust_locate. Los campos se guardan sin codificación HTML y se renderizan sin escapar en las vistas de perfil visibles para los administradores. Un atacante puede crear una carga útil que se ejecuta en una sesión de administrador, lo que permite el secuestro de sesión o la escalada de privilegios.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Referencias a soluciones, herramientas e información

https://github.com/elkarte/Elkarte