Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations Jue, 29/10/2026 - 09:32
Aviso
Recursos Afectados
Configuración de tiempo de ejecución insegura en PHP-CGI/PHP-FPM.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la configuración de PHP-CGI/PHP-FPM de ICT Innovations, paquete multiusuario basado en la web. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:CVE-2026-7190: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
Identificador
INCIBE-2026-810
Solución
La vulnerabilidad ha sido solucionada por el equipo de ICT Innovations en marzo de 2026.
Detalle
CVE-2026-7190: vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejada en el software ICTBroadcast, que afecta al entorno de demostración. La vulnerabilidad se encuentra en el endpoint ‘login.php’, cuyo parámetro ‘editForm[extension_username]’ se refleja en la respuesta sin el filtrado adecuado. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de la víctima una vez que esta acceda a la URL maliciosa.
3 - Media
Listado de referencias
Página web de ICTBroadcast
Etiquetas
0day
Actualización
CNA
Vulnerabilidad
+
XSS
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-7190
Media
No
ICT Innovations