CVE-2026-41200

Resumen

STIG Manager es una API y un cliente web para gestionar evaluaciones de Guías Técnicas de Implementación de Seguridad (STIG) de Sistemas de Información. Las versiones 1.5.10 a 1.6.7 tienen una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el código de manejo de errores de autenticación OIDC en `src/init.js` y `public/reauth.html`. Durante el flujo de redirección OIDC, los parámetros de consulta `error` y `error_description` devueltos por el proveedor OIDC se escriben directamente en el DOM mediante `innerHTML` sin escape de HTML. Un atacante que pueda crear una URL de redirección maliciosa y convencer a un usuario de seguirla puede ejecutar JavaScript arbitrario en el contexto de origen de la aplicación. La vulnerabilidad es más grave cuando el usuario objetivo tiene una sesión activa de STIG Manager en otra pestaña del navegador: el código inyectado se ejecuta en el mismo origen y puede comunicarse con el SharedWorker que gestiona el token de acceso activo, lo que permite realizar solicitudes autenticadas a la API en nombre de la víctima, incluida la lectura y modificación de datos de colecciones. La vulnerabilidad está parcheada en la versión 1.6.8. No existe una solución alternativa aparte de actualizar. Las implementaciones detrás de un firewall de aplicaciones web que filtre cargas útiles de XSS reflejado en parámetros de consulta pueden tener una mitigación parcial, pero esto no sustituye al parcheo.

• cve-2026-41200-stig-manager-oidc-reflected-xssPoC

  Generador de exploits de prueba de concepto para XSS reflejado en la autenticación OIDC de STIG Manager, que permite el robo de tokens de sesión a través de URL de devolución de llamada manipuladas y salida HTML de phishing.