¿Qué es y cómo funciona la falla?
En Hubleys (un dashboard para servicios auto-alojados) anterior a la versión 0.5.2, cualquier usuario autenticado, incluso sin privilegios de administrador, podía subir un archivo con extensión arbitraria como su "imagen de fondo". El servidor luego servía ese archivo con un Content-Type derivado directamente de la extensión elegida por el atacante (por ejemplo, subir un archivo .html hacía que se sirviera como text/html).
Debido a que el endpoint que sirve el archivo devuelve una respuesta construida manualmente, la Política de Seguridad de Contenido (CSP) configurada en la aplicación nunca se adjunta a la respuesta, permitiendo que cualquier script embebido en el archivo subido se ejecute sin restricciones.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de Hubleys anteriores a la versión 0.5.2.
Impacto real y probabilidad de explotación
Un atacante autenticado puede ejecutar código JavaScript arbitrario en el contexto del panel de control, lo que podría llevar a compromisos mayores como robo de sesiones o manipulación de datos. Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada en internet, lo que sugiere un volumen bajo de objetivos expuestos directamente.
La vulnerabilidad está clasificada como CWE-434 (Subida de archivos sin restricciones) y CWE-79 (Cross-site Scripting). Las técnicas MITRE ATT&CK asociadas son T1105 – Ingress Tool Transfer y T1189 – Drive-by Compromise. El INCIBE-CERT de España clasifica su severidad como P (Pendiente de evaluación o Parche disponible).
¿Qué hacer?
El problema ha sido corregido en la versión 0.5.2 de Hubleys. Se recomienda a todos los usuarios actualizar inmediatamente a esta versión o superior para mitigar la vulnerabilidad.
| CVE | CVE-2026-67444 |
|---|---|
| Severidad | HIGH |
| CWE | CWE-434, CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.