Qué es y cómo funciona
El sistema de gestión de contenidos Edito CMS contiene una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado (CWE-79). Un atacante que tenga credenciales de autenticación válidas puede inyectar código HTML y JavaScript arbitrario a través del parámetro de contenido en la funcionalidad del editor Tiny. Este código malicioso se almacena en el sitio y se ejecuta cuando un usuario intenta editar la entrada modificada, lo que podría permitir el robo de sesiones o la manipulación de la página.
Productos y versiones afectadas
La vulnerabilidad afecta a Edito CMS. La versión 5.10.2607 incluye la corrección completa. También se han publicado parches (hotfixes) para versiones más antiguas de la rama 5.8.
Impacto y probabilidad de explotación
Según la clasificación del INCIBE-CERT de España, la vulnerabilidad tiene una severidad P (Probable). El puntaje EPSS (Exploit Prediction Scoring System) indica una probabilidad del 0.2% de que sea explotada activamente en los próximos 30 días, situándose en el percentil 15%. Actualmente, Shodan no reporta ningún host expuesto en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos inmediatos.
Qué hacer
Los administradores de sistemas que utilicen Edito CMS deben actualizar inmediatamente a la versión 5.10.2607 o aplicar los hotfixes correspondientes para las versiones de la serie 5.8.
| CVE | CVE-2026-59077 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 15) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.