Qué es y cómo funciona
La vulnerabilidad CVE-2026-129430 es un XSS almacenado en el software de compartición de archivos Axeloz Filesharing. Atacantes autenticados pueden inyectar scripts maliciosos almacenando enlaces HTML crudos o javascript: en descripciones de bundles usando Markdown. Cuando las víctimas visualizan la página pública de previsualización del bundle, el script se ejecuta mediante Alpine x-html, permitiendo robar el owner_token del localStorage y realizar solicitudes con permisos de propietario sobre los bundles de la víctima.
Productos y versiones afectadas
Axeloz Filesharing en versiones anteriores a la 2.14.3.
Impacto y explotación
El CVSS es 5.4 (severidad media) y Shodan reporta 0 hosts expuestos en internet actualmente. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise. INCIBE-CERT (España) clasifica la severidad como P (prioritaria).
| CVE | CVE-2026-129430 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.4 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.