CVE-2026-26211: XSS almacenado en Ekushey Project Manager CRM

Producto: Ekushey Project Manager CRM
Versión: 5.0
Vulnerabilidad: Cross-Site Scripting (XSS) almacenado
CWE: CWE-79
Investigador: LINDAN TRI SAPUTRA
Informe inicial: 1 de agosto de 2026

Resumen

Se identificó una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en Ekushey Project Manager CRM versión 5.0. El problema existe en la configuración de la aplicación, específicamente dentro del campo Name. La entrada HTML controlada por el usuario se almacena sin una sanitización o codificación de salida adecuadas, lo que provoca la ejecución de JavaScript arbitrario cuando se renderiza la página.

Componente afectado

Settings → Name

El nombre de la aplicación configurado se almacena en la base de datos.
Posteriormente se muestra en la interfaz de la aplicación sin el escape adecuado.
Cualquier usuario autenticado (Admin, Staff o Client) que visualice el nombre renderizado está expuesto a la vulnerabilidad.

Prueba de concepto (PoC)

Inicie sesión en la aplicación como administrador.
Navegue a Settings.
Localice el campo Name del sistema.
Inserte el siguiente payload de prueba XSS inofensivo:

Guarde la configuración.
Abra cualquier página donde se muestre el nombre de la aplicación configurado (por ejemplo, Panel de control, Encabezado, Correos electrónicos).

El JavaScript se ejecuta cuando se renderiza el valor almacenado.

Impacto

Debido a que el payload se almacena en la aplicación, el problema afecta a todos los usuarios, no solo al administrador que modificó inicialmente la configuración. Dependiendo de dónde se renderice el nombre de la aplicación y qué usuarios puedan acceder a esas páginas, el payload almacenado puede ejecutarse en el navegador del personal, los clientes u otros usuarios autenticados.

El impacto potencial incluye:

Ejecución arbitraria de JavaScript en los navegadores de los usuarios afectados
Manipulación de la interfaz de la aplicación (por ejemplo, desfiguración, notificaciones falsas)
Phishing o suplantación dentro del origen de confianza de la aplicación
Realización de acciones dentro del contexto autenticado de la aplicación de la víctima (secuestro de sesión, elusión de CSRF)

Video de prueba de concepto

A continuación se encuentra una demostración en video de CVE-2026-26211:

Haga clic en la imagen para ver la PoC en YouTube

Enlace directo: https://youtu.be/b8gRD9jpvak?si=otEalAgZexiENIfh

Cronología de divulgación

Fecha	Evento
1 de agosto de 2026	Vulnerabilidad enviada a VulnCheck
Agosto de 2026	VulnCheck validó el envío y confirmó que cumple los requisitos para la asignación de un CVE
Agosto de 2026	CVE-2026-26211 asignado
25 de agosto de 2026	Divulgación técnica pública publicada a petición de VulnCheck

Investigador

LINDAN TRI SAPUTRA
Investigador de seguridad independiente
GitHub: https://github.com/LindHunt

Referencias

CVE-2026-26211: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-26211
CWE-79: Neutralización incorrecta de la entrada durante la generación de páginas web (XSS)
https://cwe.mitre.org/data/definitions/79.html

Descargo de responsabilidad

Este informe se proporciona únicamente con fines educativos y de concienciación sobre seguridad. La vulnerabilidad identificada se ha divulgado de forma responsable al proveedor o a la autoridad coordinadora correspondiente (VulnCheck) antes de su publicación pública. La explotación no autorizada de esta vulnerabilidad es ilegal y poco ética.

Recomendaciones para desarrolladores

Para remediar esta vulnerabilidad:

Aplique codificación de salida contextual al renderizar entradas controladas por el usuario.
Implemente una validación y sanitización de entrada estrictas para todos los campos de configuración.
Utilice encabezados de Content Security Policy (CSP) para mitigar los riesgos de XSS.
Considere el uso de HTML Purifier o bibliotecas similares para filtrar la entrada de texto enriquecido.

Mantente seguro, mantente alerta.

CVE-2026-26211

Más Populares