CVE-2026-14856: XSS Almacenado a Toma de Control de Cuenta en TastyIgniter v4.3.0

📌 Resumen

Se identificó una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la funcionalidad de carga de archivos del Media Manager de TastyIgniter v4.3.0. Debido a una validación y saneamiento insuficientes de los archivos .svg cargados, un usuario autenticado con privilegios bajos puede cargar un archivo malicioso que contenga código JavaScript incrustado.

Cuando un administrador visualiza o previsualiza el archivo cargado, la carga útil se ejecuta dentro del contexto de su sesión. Al encadenar este vector con Cross-Site Request Forgery (CSRF), un atacante puede extraer el token anti-CSRF del administrador y desencadenar acciones administrativas no autorizadas (por ejemplo, modificar las credenciales de la cuenta), lo que resulta en una Toma de Control de Cuenta completa.

---

📊 Resumen Técnico

---

⚙️ Cadena de Explotación

1. Fase de carga: Un usuario autenticado con privilegios bajos carga un archivo SVG que contiene una carga útil maliciosa de JavaScript en el Media Manager.
2. Fase de ejecución: Un administrador visualiza el archivo, ejecutando el JavaScript incrustado en el contexto de su sesión de navegador.
3. Extracción del token: El script extrae programáticamente el token CSRF activo del administrador.
4. Toma de Control de Cuenta: El script envía una solicitud autenticada utilizando el token robado para actualizar las credenciales administrativas (correo electrónico/contraseña).

---

📁 Prueba de Concepto (PoC)

El informe técnico completo, el desglose paso a paso y el análisis están disponibles en formato PDF dentro de este repositorio:

📄 TastyIgniter-4.3.0-POC.pdf

---

🛡️ Mitigación y Divulgación Coordinada

• Estado del proveedor: Corregido en la última versión publicada por el fabricante. Se recomienda actualizar a la versión más reciente.
• Coordinación: Divulgado de manera responsable a través de la Divulgación Coordinada de Vulnerabilidades (CVD) de INCIBE-CERT.
• Aviso oficial: Aviso de INCIBE-CERT

---

👤 Autor

Jonas Fernández