Qué es y cómo funciona
Se ha identificado una vulnerabilidad de cross-site scripting (XSS) en el componente Image Upload Endpoint de Mereithhh VanBlog hasta la versión 0.54.0. La falla reside en el archivo packages/server/src/types/access/access.ts y permite a atacantes ejecutar código malicioso de forma remota mediante la manipulación de este endpoint.
Productos y versiones afectadas
VanBlog en versiones iguales o anteriores a 0.54.0.
Impacto y explotación
El exploit ya está disponible públicamente y podría ser utilizado en ataques. Según Shodan, actualmente hay 0 hosts expuestos indexados en internet. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise. INCIBE-CERT clasifica la severidad como MEDIUM (CVSS: 3.5).
Recomendaciones
Se contactó al fabricante pero no hubo respuesta. Se recomienda monitorear actualizaciones oficiales y aplicar parches cuando estén disponibles.
| CVE | CVE-2026-129259 |
|---|---|
| Severidad | LOW |
| CVSS | 3.5 / 10 |
| CWE | CWE-79, CWE-94 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.