Vulnerabilidad en MajorDoMo (CVE-2026-27177)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

18/02/2026

Última modificación:

20/02/2026

Descripción

MajorDoMo (también conocido como Major Domestic Module) contiene una vulnerabilidad de cross-site scripting (XSS) almacenado a través del endpoint /objects/?op=set, que está intencionalmente sin autenticar para la integración de dispositivos IoT. Los valores de propiedad proporcionados por el usuario se almacenan sin procesar en la base de datos sin saneamiento. Cuando un administrador ve el editor de propiedades en el panel de administración, los valores almacenados se renderizan sin escape tanto en una etiqueta de párrafo (campo SOURCE) como en un elemento de área de texto (campo VALUE). El XSS se activa al cargar la página sin requerir ningún clic del administrador. Además, la cookie de sesión carece de la bandera HttpOnly, lo que permite el secuestro de sesión a través de la exfiltración de document.cookie. Un atacante puede enumerar propiedades a través del endpoint /api.php/data/ sin autenticar y envenenar cualquier propiedad con JavaScript malicioso.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Passsive
Confidentiality (VC): Bajo
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0

5.30

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno