¿Qué es esta vulnerabilidad?
El sistema de gestión de contenidos Edito CMS es vulnerable a Cross-Site Scripting Almacenado (XSS) debido a una validación de entrada incorrecta. Un atacante autenticado puede inyectar scripts maliciosos en los parámetros givenName y surname a través del endpoint /api/auth/profile. Cuando un administrador visita los registros de cambios (changelog logs), el script se ejecuta automáticamente en su navegador.
Productos y versiones afectadas
La vulnerabilidad afecta a Edito CMS en versiones anteriores a 5.10.2607. También se han publicado parches para versiones más antiguas de la serie 5.8.
Impacto y probabilidad de explotación
Según EPSS, existe un 0.2% de probabilidad de explotación real en los próximos 30 días (percentil 15%). Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. INCIBE-CERT (España) clasifica la severidad como P (baja). La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise.
¿Qué hacer?
Actualiza Edito CMS a la versión 5.10.2607 o aplica los hotfixes disponibles para versiones de la serie 5.8.
| CVE | CVE-2026-59076 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 15) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.