Cuatro nuevos avisos de seguridad
Índice
- Cross-Site Scripting reflejado en la plataforma eCommerce de BeeTienda
- Inyección de comandos en Tenable Identity Exposure de Tenable
- Desbordamiento de memoria en NetScaler ADC y NetScaler Gateway de Citrix
- Omisión de autenticación en Intelligent Management Center de HPE
Cross-Site Scripting reflejado en la plataforma eCommerce de BeeTienda
Última versión de demo de eCommerce Platform (noviembre de 2025).
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a eCommerce Platform de BeeTienda, una plataforma diseñada para crear tiendas online de forma rápida, sencilla y profesional. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-4264: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N | CWE-79
No hay solución reportada por el momento.
CVE-2026-4264: Cross-Site Scripting (XSS) reflejado en la plataforma ecommerce de BeeTienda, concretamente en la última versión de demostración. El incidente se produce debido a la falta de una sanitización adecuada de los datos introducidos por el usuario en el parámetro 'search' del punto final de la lista de productos. Cuando se transmiten cargas maliciosas a través del parámetro 'search', estas se muestran de forma insegura en la respuesta HTML, lo que permite la ejecución arbitraria de código JavaScript en el navegador de la víctima.
Inyección de comandos en Tenable Identity Exposure de Tenable
Tenable Identity Exposure SaaS, versión 3.125.0 y anteriores.
Takumi Ito ha informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante autenticado con privilegios reducidos ejecutar comandos arbitrarios con permisos de SYSTEM en el controlador principal de dominio.
Actualizar Tenable Identity Exposure SaaS a la versión 3.126.0 o posterior.
Para corregir completamente la vulnerabilidad, después de actualizar se debe desinstalar Active Directory Events Listener ejecutando Register-TenableIOA.ps1 -Uninstall y volver a instalar este componente.
CVE-2026-106126: vulnerabilidad de inyección de comandos del sistema operativo en Active Directory Events Listener. Un atacante autenticado con privilegios reducidos podría enviar información especialmente manipulada y ejecutar comandos arbitrarios con permisos de SYSTEM en el controlador principal de dominio.
Desbordamiento de memoria en NetScaler ADC y NetScaler Gateway de Citrix
Las siguientes versiones de NetScaler ADC y NetScaler Gateway configuradas como proveedor de identidad SAML:
- 14.1-73.37 hasta 14.1-73.41, ambas incluidas;
- 14.1-FIPS 14.1-73.37 FIPS hasta 14.1-73.41 FIPS, ambas incluidas;
- 13.1-64.23 hasta 13.1-64.28, ambas incluidas;
- 13.1-FIPS y 13.1-NDcPP 13.1-37.279 hasta 13.1-37.282, ambas incluidas.
También están afectadas las versiones anteriores cuando están configuradas como proveedor de servicios o proveedor de identidad SAML:
- NetScaler ADC y NetScaler Gateway anteriores a 14.1-73.37;
- NetScaler ADC 14.1-FIPS anterior a 14.1-73.37 FIPS;
- NetScaler ADC y NetScaler Gateway anteriores a 13.1-64.23;
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP anteriores a 13.1-37.279.
También están afectadas las implementaciones híbridas de Citrix Secure Private Access que utilizan instancias de NetScaler.
Michael Tucker, Chew Keong Tan y Alex Bernier, del equipo JPMorgan Chase XOR Team, y Maxim Suhanov han informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado ejecutar código arbitrario o provocar una denegación de servicio (DoS).
Actualizar los productos afectados a las siguientes versiones:
- NetScaler ADC y NetScaler Gateway 14.1-73.46 o posterior;
- NetScaler ADC y NetScaler Gateway 13.1-64.29 o posterior;
- NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS o posterior;
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP 13.1-37.283 o posterior.
Los servicios en la nube administrados por Citrix y el servicio administrado Citrix Adaptive Authentication han sido actualizados por el fabricante y no requieren ninguna acción por parte de los clientes.
CVE-2026-107406: vulnerabilidad de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway cuando están configurados para utilizar SAML. Un atacante remoto no autenticado podría enviar comunicaciones especialmente manipuladas para ejecutar código arbitrario o provocar una denegación de servicio (DoS).
Omisión de autenticación en Intelligent Management Center de HPE
HPE Intelligent Management Center (iMC), versiones anteriores a 7.3 E0713.
HPE ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado eludir los controles de autenticación y acceder o modificar información sensible.
Actualizar HPE Intelligent Management Center (iMC) a la versión 7.3 E0713 o posterior.
CVE-2026-79842: vulnerabilidad de autenticación incorrecta en HPE Intelligent Management Center. Un atacante remoto no autenticado podría eludir los mecanismos de autenticación y acceder a funciones restringidas, lo que podría permitir consultar o modificar información sensible.