Vulnerabilidad en Canarytokens (CVE-2026-28355)
Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
27/02/2026
Última modificación:
15/04/2026
Descripción
Canarytokens ayudan a rastrear la actividad y las acciones en una red. Las versiones anteriores a 'sha-7ff0e12' tienen una vulnerabilidad de Self Cross-Site Scripting en el Canarytoken 'PWA', mediante la cual el creador del Canarytoken puede atacarse a sí mismo o a alguien con quien comparte el enlace. El creador de un Canarytoken PWA puede insertar Javascript en el campo de título de su token PWA. Cuando el creador navega posteriormente a la página de instalación de su propio Canarytoken, el Javascript se ejecuta. Esto es un self-XSS. Un atacante podría crear un Canarytoken con este self-XSS, y enviar el enlace de instalación a una víctima. Cuando hacen clic en él, el Javascript se ejecutaría. Sin embargo, no se divulgará información sensible (ej. información de sesión) al actor malicioso. Este problema ya está parcheado en Canarytokens.org. Los usuarios de instalaciones de Canarytokens autoalojadas pueden actualizar extrayendo la última imagen de Docker, o cualquier imagen de Docker posterior a 'sha-7ff0e12'.