Qué es y cómo funciona
La vulnerabilidad CVE-2026-126800 es un Cross-Site Scripting (XSS) almacenado en el componente @hydrooj/ui-default de la plataforma HydroOJ. Permite a un usuario registrado inyectar código JavaScript malicioso colocando comillas dobles en los tokens de clase de idioma dentro del archivo markdown-it-xss.ts. Un atacante puede almacenar un payload en la biografía de su perfil, el cual se ejecutará automáticamente cuando un administrador u otro usuario visualice ese perfil.
Impacto y explotación
El impacto principal es el secuestro de sesión. El script inyectado puede robar la cookie de sesión sid (que no está marcada como httpOnly), permitiendo al atacante suplantar la identidad de la víctima. La vulnerabilidad tiene una puntuación CVSS de 8.7 (Alta). Según EPSS, la probabilidad de explotación en los próximos 30 días es del 0.3% (percentil 24%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del componente @hydrooj/ui-default anteriores a la 4.59.1.
Qué hacer
Se recomienda actualizar el componente @hydrooj/ui-default a la versión 4.59.1 o superior para corregir la falla.
| CVE | CVE-2026-126800 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.7 / 10 |
| EPSS | 0.3% en 30 días (percentil 24) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.