Vulnerabilidad en PMD (CVE-2026-28338)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

27/02/2026

Última modificación:

03/03/2026

Descripción

PMD es un analizador de código estático multilenguaje extensible. Antes de la versión 7.22.0, los formatos de informe &#39;vbhtml&#39; y &#39;yahtml&#39; de PMD insertan mensajes de violación de reglas en la salida HTML sin escapar. Cuando PMD analiza código fuente no confiable que contiene literales de cadena manipulados, el informe HTML generado contiene JavaScript ejecutable que se ejecuta al abrirse en un navegador. El impacto práctico es limitado porque &#39;vbhtml&#39; y &#39;yahtml&#39; son formatos heredados rara vez utilizados en la práctica. El formato &#39;html&#39; predeterminado está correctamente escapado y no se ve afectado. La versión 7.22.0 contiene una solución para el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno