CVE-2026-1010
XSS almacenado en Altium Enterprise Server Workflow Engine permite escalada de privilegios
- Publicado
- 15 ene 2026
- Actualizado
- 5 feb 2026
- Asignación de CNA
- Altium
- Evidencia observada
- 10 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 27,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Una vulnerabilidad de cross-site scripting (XSS) almacenado existe en el Altium Workflow Engine debido a la falta de saneamiento de entrada del lado del servidor en las API de envío de formularios de flujo de trabajo. Un usuario autenticado regular puede inyectar JavaScript arbitrario en los datos del flujo de trabajo. Cuando un administrador ve el flujo de trabajo afectado, la carga útil inyectada se ejecuta en el contexto del navegador del administrador, permitiendo la escalada de privilegios, incluyendo la creación de nuevas cuentas de administrador, el robo de tokens de sesión y la ejecución de acciones administrativas.
Fuentes
1Exploit de prueba de concepto para CVE-2026-1010, que demuestra el contrabando de conexiones WebSocket y la división de peticiones mediante una cabecera Upgrade malformada contra configuraciones de proxy inverso/backend.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.