CVE-2026-63432
Horilla: Inyección de Plantillas del Lado del Servidor (SSTI) en los Endpoints de Vista Previa de Correo Permite a Usuarios Autenticados Divulgar Hashes de Contraseñas y Metadatos del Servidor
- Publicado
- 25 sept 2026
- Actualizado
- 28 sept 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 29 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 22,9 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Horilla es un software de RR. HH. y CRM. Desde la versión 1.0.0 hasta la 1.6.0 y la 2.0.0, los controladores get_mail_preview en recruitment/views/actions.py y employee/not_in_out_dashboard.py renderizan un cuerpo controlado por el usuario en /recruitment/get-mail-preview/ y /employee/get-employee-mail-preview con el objeto request completo en el contexto de la plantilla de Django. Un usuario autenticado con un token CSRF válido puede utilizar el recorrido de atributos de plantilla para leer request.user.password, request.META y atributos de usuarios relacionados, exponiendo hashes de contraseñas, datos personales y metadatos de solicitudes del servidor. Las restricciones de las plantillas de Django impiden la ejecución de código arbitrario mediante esta primitiva, por lo que el impacto demostrado es la divulgación de información y la posible ruptura de contraseñas sin conexión o el compromiso de cuentas. Este problema está corregido en las versiones 1.6.0 y 2.0.0.
Fuentes
PoCs y write-ups de CVEs que reporté (divulgación coordinada; solo publicados y parcheados)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.