Qué es y cómo funciona
La vulnerabilidad CVE-2026-126305 es un cross-site scripting (XSS) almacenado (CWE-79) en el software de gestión de relaciones con clientes EspoCRM. Un usuario con permisos para crear o editar artículos en la Base de Conocimiento puede adjuntar un archivo JavaScript malicioso y agregar un enlace manipulado al cuerpo del artículo. Cuando un administrador hace clic en ese enlace, el script se ejecuta en su sesión, lo que puede permitir al atacante crear una nueva cuenta de administrador con las credenciales que él elija.
Productos y versiones afectadas
Las versiones vulnerables de EspoCRM son:
- Todas las versiones anteriores a
9.3.11. - Todas las versiones de la rama
10.xanteriores a10.0.9.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 7.3 (Alta). Según el EPSS, la probabilidad de que sea explotada en los próximos 30 días es del 0.4% (percentil 31%). Se asocia con la técnica MITRE ATT&CK T1189 – Drive-by Compromise. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada.
Qué hacer
Se recomienda actualizar EspoCRM a la versión 9.3.11 o a la versión 10.0.9 o superior, según corresponda a la rama en uso.
| CVE | CVE-2026-126305 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.4% en 30 días (percentil 31) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.