Tres nuevos avisos de seguridad y una actualización
Índice
- Carga sin restricciones de archivos en la aplicación PuMuKIT
- Múltiples vulnerabilidades en Cloud BI Platform de Sisense
- Escritura fuera de límites en productos de Palo Alto Networks
- [Actualización 26/10/2026] Múltiples vulnerabilidades en FacturaScripts
Carga sin restricciones de archivos en la aplicación PuMuKIT
PuMuKIT, versiones anteriores a la 5.0.8.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a la aplicación de PuMuKIT, una plataforma de vídeo de código abierto. La vulnerabilidad ha sido descubierta por David Herrero de la Peña.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-4337: CVSS v4.0: 8.8 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:L/SA:L | CWE- 434
No hay solución reportada por el momento.
CVE-2026-4337: vulnerabilidad de carga sin restricciones de archivos de tipo peligroso en la aplicación PuMuKIT permite a un usuario no autenticado cargar cualquier tipo de archivo en el servidor, en cualquier ruta en la que el usuario del servidor web tenga permisos de escritura. Esto también podría permitirle eliminar archivos.
Múltiples vulnerabilidades en Cloud BI Platform de Sisense
Sisense Cloud BI Platform (SaaS).
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad alta, que afectan a Cloud BI Platform de Sisense, plataforma de inteligencia de negocios y análisis de datos alojada en la nube. Las vulnerabilidades han sido descubiertas por Miguel Jiménez Cámara.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- Desde CVE-2026-117493 hasta CVE-2026-117494: CVSS v4.0: 8.3 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L | CWE-79
No hay solución reportada por el momento.
- CVE-2026-117493: Cross-Site Scripting (XSS) almacenado en los widgets BloX. La API /api/dashboards/<id>/widgets/<id> acepta contenido HTML y JavaScript en los parámetros desc y text. El código introducido se ejecuta en el navegador al representar el widget, lo que podría comprometer la confidencialidad de la información accesible en ese contexto.
- CVE-2026-117494: Cross-Site Scripting (XSS) en el procesamiento de imágenes SVG enviadas a la API /api/v2/ai/sessions en formato data:image/svg+xml;base64. Las etiquetas script embebidas en el SVG se procesan al representar el contenido en la ventana del asistente, permitiendo la ejecución de JavaScript y la alteración del contenido mostrado.
Escritura fuera de límites en productos de Palo Alto Networks
- PAN-OS en cortafuegos PA-Series y VM-Series:
- 12.2: versiones anteriores a 12.2.4-h1.
- 12.1: versiones anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea de mantenimiento.
- 11.2: desde 11.2.4 y anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, según la línea de mantenimiento.
- Prisma Cloud - Application Security Transporter Client: versiones anteriores a 0.2.9.
En PAN-OS, la exposición requiere inspección Brotli y descifrado TLS/SSL activados en el plano de datos. Panorama y PAN-OS 11.1 y 10.2 no están afectados.
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en el decodificador Brotli que podría permitir a un atacante remoto sin autenticación revelar información, provocar una denegación de servicio o ejecutar código arbitrario.
Actualizar, según la línea utilizada, a:
- PAN-OS 12.2.4-h1.
- PAN-OS 12.1.7-h11.
- PAN-OS 11.2.10-h17.
- Prisma Cloud - Application Security Transporter Client 0.2.9.
Las demás correcciones están previstas entre el 27 y el 30 de octubre. Consultar su disponibilidad en el boletín del fabricante.
La versión 11.2.10-h16 corrige PHP, pero requiere actualizar a 11.2.10-h17 para corregir también Brotli.
Como mitigación provisional, deshabilitar Brotli mediante set system setting brotli-encoding disable. Verificar con show system setting brotli que aparezca Enabled: no.
CVE-2026-111497: escritura fuera de límites en el decodificador Brotli. Al procesar datos comprimidos manipulados, el decodificador puede escribir fuera de un búfer interno y corromper la memoria adyacente. Un atacante remoto sin autenticación que consiga que se procesen esos datos podría acceder a información sensible de la memoria, provocar la interrupción del servicio o, potencialmente, ejecutar código arbitrario.
[Actualización 26/10/2026] Múltiples vulnerabilidades en FacturaScripts
FacturaScripts: anteriores a la 2026.1.
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad media, que afectan a FacturaScripts, un software libre de contabilidad y facturación. Las vulnerabilidades han sido descubiertas por daffi1238 && nandoll.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-11959 y CVE-2026-11960: CVSS v4.0: 6.9| CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-79
Ambas vulnerabilidades han sido solucionadas en los commits de la versión 2026.1 (publicada el 28 de abril de 2026):
- CVE-2026-11959: Cross-Site Scripting (XSS) almacenado en FacturaScripts, versión 2025.61 causada por una falta de validación o sanitización adecuada de la entrada del usuario en los campos ‘ciudad’ y ‘provincia’ en el endpoint ‘ListAlmacen’. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de la víctima (usuario de la aplicación) o escalar privilegios de usuario normal a administrador mediante la ejecución de código JavaScript específicamente diseñado, comprometiendo la confidencialidad del sistema o secuestrando la sesión (incluso con cookies httpOnly mediante la extracción de tokens CSRF).
- CVE-2026-11960: enumeración de usuarios no autenticados en FacturaScripts, versión 2025.61. La aplicación devuelve respuestas diferentes al intentar iniciar sesión con un nombre de usuario válido frente a uno no válido. Un atacante no autenticado podría identificar sistemáticamente los nombres de usuario válidos examinando las variaciones en las respuestas de la aplicación, como cambios en el tiempo de respuesta, discrepancias entre los mensajes de error o diferencias en los códigos HTTP. Un exploit exitoso permite al atacante recopilar una lista de cuentas de usuario válidas. Esta lista se podría utilizar para realizar ataques de fuerza bruta dirigidos, pulverización de contraseñas, relleno de credenciales o campañas de ingeniería social contra las cuentas confirmadas.