Qué es y cómo funciona
Se detectó una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el software hrshadhin CloudSchool, en versiones hasta la 3.0.1. La falla reside en una función desconocida del archivo app/Http/Controllers/Backend/EventController.php, específicamente en el componente Event Description Handler. La manipulación del argumento data permite la ejecución de scripts maliciosos. El ataque puede lanzarse de forma remota.
Productos y versiones afectadas
La vulnerabilidad afecta a hrshadhin CloudSchool en todas las versiones hasta la 3.0.1.
Impacto y explotación
El exploit es público y puede estar en uso. Según datos de Shodan, actualmente hay 0 hosts indexados expuestos en internet. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise. El INCIBE-CERT de España clasifica la severidad de esta vulnerabilidad como LOW (CVSS: 2.4).
Qué hacer
El proveedor (hrshadhin) fue contactado oportunamente sobre esta divulgación, pero no respondió. Se recomienda a los usuarios estar atentos a una posible actualización oficial del proveedor que parchee la vulnerabilidad.
| CVE | CVE-2026-129251 |
|---|---|
| Severidad | LOW |
| CVSS | 2.4 / 10 |
| CWE | CWE-79, CWE-94 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.