Qué es y cómo funciona la falla
El CVE-2026-59078 es una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado (CWE-79) en el sistema de gestión de contenidos Edito CMS. Un atacante que haya iniciado sesión puede aprovechar la funcionalidad de subida de avatar para inyectar código HTML y JavaScript arbitrario en el sitio web. Este código malicioso se almacena y luego se renderiza y ejecuta automáticamente cuando cualquier otro usuario visita una URL que muestra el avatar editado.
Productos y versiones afectadas
La vulnerabilidad afecta a versiones de Edito CMS anteriores a la 5.10.2607. El fabricante también ha publicado parches para versiones más antiguas, específicamente para la rama 5.8.
Impacto y probabilidad de explotación
El impacto principal es que un atacante podría comprometer las sesiones de otros usuarios o redirigirlos a sitios maliciosos, una técnica asociada a T1189 – Drive-by Compromise en la matriz MITRE ATT&CK. Aunque la severidad teórica es alta, los datos actuales sugieren un riesgo de explotación real bajo: el EPSS estima solo un 0.2% de probabilidad de explotación en los próximos 30 días (percentil 15%). Además, una búsqueda en Shodan no detecta actualmente ningún host expuesto en internet con esta vulnerabilidad.
Qué hacer
Se recomienda a todos los administradores de sitios que utilicen Edito CMS actualizar inmediatamente a la versión 5.10.2607 o aplicar los hotfixes correspondientes para las versiones de mantenimiento anteriores, como la 5.8. INCIBE-CERT de España ha clasificado esta vulnerabilidad con una severidad catalogada como P (Prioritaria).
| CVE | CVE-2026-59078 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 15) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.