pavanvootla-sec/cve-2026-37196Divulgación de vulnerabilidad de XSS almacenado para nirix traq v3.9.0 con PoC, análisis de causa raíz y guía de mitigación para investigadores de seguridad y defensores.
Existe una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en nirix traq v3.9.0, donde la entrada proporcionada por el usuario en el campo de descripción del ticket no se sanitiza adecuadamente antes de ser renderizada en la interfaz de la aplicación.
Esta vulnerabilidad permite a un atacante autenticado inyectar cargas útiles maliciosas de JavaScript en la descripción de un ticket. La carga útil es almacenada por la aplicación y se ejecuta cuando otro usuario, incluidos usuarios privilegiados como administradores, visualiza la línea de tiempo o el componente de representación del ticket afectado.
El problema ocurre porque la entrada HTML/JavaScript controlada por el usuario se renderiza sin una codificación o sanitización adecuada de la salida.
Un atacante autenticado puede crear o modificar un ticket e insertar una carga útil maliciosa en el campo de descripción. Cuando otro usuario visualiza el ticket afectado, el script inyectado se ejecuta en el contexto del navegador de la víctima.
Esto puede conllevar a:
Campo de descripción del ticket / Componente de representación de la línea de tiempo
La vulnerabilidad se activa cuando las descripciones de tickets que contienen HTML o JavaScript malicioso se renderizan en la interfaz de la aplicación sin el escape suficiente.
Ejemplo:
Una explotación exitosa puede permitir a los atacantes:
La aplicación no sanitiza ni codifica adecuadamente la entrada controlada por el usuario antes de renderizar las descripciones de tickets en el navegador.
La entrada del usuario se almacena y luego se renderiza sin la protección suficiente contra la inyección de HTML/JavaScript.
Se recomiendan las siguientes mitigaciones:
| Evento | Fecha |
|---|---|
| Vulnerabilidad descubierta | 2026 |
| Notificación al proveedor | Divulgación responsable |
| CVE asignado | CVE-2026-37196 |
| Divulgación pública | 2026 |
Este repositorio se publica únicamente con fines de investigación de seguridad y concienciación defensiva. La información proporcionada tiene como objetivo ayudar a desarrolladores y defensores a comprender y remediar el problema.
Descubierto por: Pavan V