CVE-2026-36226: Prueba de Concepto XSS de Crear Nuevo Usuario de Proyecto en Advantech WebAccess/SCADA

Este repositorio contiene una prueba de concepto benigna para CVE-2026-36226, un problema de cross-site scripting en Advantech WebAccess/SCADA 8.0-2015.08.16.

Este repositorio es solo para investigación de seguridad autorizada y reproducción local. No lo utilice contra sistemas que no posea o para los que no tenga permiso explícito para probar.

Resumen

Advantech WebAccess/SCADA 8.0-2015.08.16 contiene una vulnerabilidad de cross-site scripting en el componente Crear Nuevo Usuario de Proyecto del Panel de Administración. El campo decryption no sanece ni codifica suficientemente la entrada controlada por el usuario antes de que se renderice en la aplicación, lo que permite a un atacante remoto ejecutar JavaScript en el contexto del navegador de un usuario autenticado.

La PoC pública solo utiliza payloads inofensivos basados en alertas. No incluye robo de credenciales, exfiltración de sesión ni código destructivo.

Descubridor

Vaibhav D. Barkade

Producto Afectado

Uso

Abra la página local auxiliar:

python3 -m http.server 8000

Luego navegue a:

http://127.0.0.1:8000/poc.html

O copie un payload directamente de:

payloads.txt

Payload benigno predeterminado:

"><svg/onload=alert("CVE-2026-36226")>

Verificación Manual

1. Inicie sesión en una instancia de laboratorio autorizada de Advantech WebAccess/SCADA 8.0-2015.08.16.
2. Abra el Panel de Administración.
3. Navegue a Crear Nuevo Usuario de Proyecto.
4. Pegue el payload benigno en el campo decryption.
5. Guarde o previsualice el registro.
6. Si se ejecuta una alerta en el navegador, el campo es vulnerable a XSS.

Impacto

La explotación exitosa permite la ejecución de JavaScript del lado del navegador en el contexto de un usuario que visualiza la página afectada. Dependiendo de la configuración de la sesión y los privilegios del usuario, esto puede permitir el secuestro de sesión, la divulgación de información sensible o la realización de acciones como el usuario víctima.

Mitigación

• Codifique los datos no confiables antes de renderizarlos en contextos HTML, de atributos, JavaScript o URL.
• Valide y rechace la entrada de marcado/script en el campo decryption.
• Aplique una Política de Seguridad de Contenido restrictiva.
• Marque las cookies de sesión como HttpOnly, Secure y SameSite.
• Actualice a una versión corregida del proveedor si está disponible.