CVE-2026-41472
CyberPanel < 2.4.5 XSS almacenado a través del panel de escáner de IA
- Publicado
- 24 abr 2026
- Actualizado
- 11 ago 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 6 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 49,6 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
# CyberPanel < 2.4.5 — Vulnerabilidad de Cross-Site Scripting Almacenado en el Panel de AI Scanner Las versiones de CyberPanel anteriores a la 2.4.5 contienen una vulnerabilidad de cross-site scripting almacenado en el panel de AI Scanner, donde el endpoint `POST /api/ai-scanner/callback` carece de autenticación y permite a atacantes no autenticados inyectar JavaScript malicioso sobrescribiendo el campo `findings_json` de los registros de `ScanHistory`. Los atacantes pueden inyectar JavaScript que se ejecuta en la sesión autenticada de un administrador cuando este visita el panel de AI Scanner, lo que les permite realizar solicitudes de mismo origen para programar trabajos cron y lograr la ejecución remota de código en el servidor.
Fuentes
- CVE-2026-41472-POCExploit
CyberPanel v2.4.3 Cadena de XSS a RCE-CVE-2026-41472
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.