CVE-2026-5615
givanz Vvvebjs Punto de subida de archivos upload.php cross site scripting
- Publicado
- 6 abr 2026
- Actualizado
- 6 abr 2026
- Asignación de CNA
- VulDB
- Evidencia observada
- 26 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 62,2 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se ha identificado una debilidad en givanz Vvvebjs hasta 2.0.5. El elemento afectado es una función desconocida del archivo upload.php del componente File Upload Endpoint. Esta manipulación del argumento uploadAllowExtensions causa cross site scripting. La explotación remota del ataque es posible. El exploit se ha puesto a disposición del público y podría usarse para ataques. Nombre del parche: 8cac22cff99b8bc701c408aa8e887fa702755336. Aplicar un parche es la acción recomendada para solucionar este problema. Se contactó al proveedor con antelación, respondió de manera muy profesional y rápidamente lanzó una versión corregida del producto afectado.
Fuentes
http/cves/2026/CVE-2026-5615.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Python proof-of-concept para CVE-2026-5615, un XSS almacenado en VvvebJs, que demuestra la explotación mediante la carga de SVG con escaneo y validación multihilo.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.