Qué es y cómo funciona
La vulnerabilidad CVE-2026-59075 es una inyección LINQ dinámica (CWE-917) en el sistema de gestión de contenidos Edito CMS. Debido a una validación de entrada insuficiente, un atacante autenticado puede inyectar expresiones condicionales en el parámetro sort de los endpoints administrativos paginados. Al analizar el orden de los resultados devueltos, el atacante puede extraer el valor de cualquier campo carácter por carácter, lo que podría llevar a la exposición de datos sensibles.
Productos y versiones afectadas
La vulnerabilidad afecta a versiones de Edito CMS anteriores a la 5.10.2607. Para versiones más antiguas de la rama 5.8, también se han publicado parches de seguridad.
Impacto y probabilidad de explotación
El impacto principal es la exposición de información confidencial almacenada en el CMS. Según el análisis EPSS, la probabilidad de explotación real en los próximos 30 días es del 0.2% (percentil 16%), lo que la clasifica como de baja probabilidad. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. El INCIBE-CERT de España clasifica la severidad de esta vulnerabilidad como P (Prioridad).
Qué hacer
Se recomienda actualizar Edito CMS a la versión 5.10.2607 o aplicar los parches de seguridad disponibles para las versiones de la rama 5.8.
| CVE | CVE-2026-59075 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 16) |
| CWE | CWE-917 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |