CVE-2026-39200 — El valor del parámetro de solicitud `produk` se copia en el valor de un atributo de etiqueta HTML que está encapsulado entre comillas dobles. El payload `xbnw0"><script>alert(1)</script>skc2h` fue enviado en el parámetro `produk`. Esta entrada se reflejó como `xbnw0\"><script>alert(1)</script>skc2h` en la respuesta de la aplicación. | Kitploit

<!-- ANTES de la inyección -->
<input type="text" name="produk" value="USER_INPUT" />

<!-- DESPUÉS de la inyección con el payload xbnw0"><script>alert(1)</script>skc2h -->
<input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
                                                            ^^^^^^^^^^^^^^^^^^^^^^^^
                                                            El navegador ejecuta esto

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<html>
  <body>
    <!-- ... -->
    <input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
    <!-- ... -->
  </body>
</html>

Identifique un endpoint en la aplicación Toko Online RotI que refleje el parámetro produk dentro de un atributo HTML (por ejemplo, una página de búsqueda, detalle o filtro de productos).
Reemplace el valor del parámetro produk con el siguiente payload:
```
xbnw0"><script>alert(1)</script>skc2h
```
Envíe la solicitud al servidor.
Inspeccione la respuesta del servidor. El payload se devuelve sin modificar dentro del atributo, saliendo de las comillas " y produciendo un elemento <script> válido en el DOM.
Cargue la respuesta manipulada en cualquier navegador moderno. Aparecerá un cuadro de diálogo JavaScript alert(1), confirmando la ejecución de JavaScript arbitrario en la sesión de la víctima.

Codificar en HTML todos los valores proporcionados por el usuario antes de reflejarlos en la salida HTML. Codificar específicamente <, >, ", ' y & (por ejemplo, <, >, ", ', &).
Usar las ayudas de codificación de salida integradas del framework en lugar de la concatenación manual. Ejemplos:
- PHP: htmlspecialchars($input, ENT_QUOTES, 'UTF-8')
- ASP.NET: HttpUtility.HtmlEncode(input) o sintaxis <%: %>
- Python (Jinja2): {{ input }} (escapado automático por defecto)
Establecer un encabezado de respuesta Content-Security-Policy (CSP) estricto para limitar el impacto de cualquier inyección restante:
```
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
```
Establecer las banderas HttpOnly y Secure en todas las cookies de sesión para evitar que JavaScript las lea.
Validar el parámetro produk contra una lista blanca de identificadores de producto esperados (IDs numéricos, slugs, etc.) y rechazar cualquier cosa que no coincida.
Agregar X-Content-Type-Options: nosniff para evitar la detección de tipo MIME de los cuerpos de respuesta.

Fecha	Evento
2026-07-03	Vulnerabilidad descubierta durante pruebas de seguridad autorizadas
2026-07-03	ID CVE solicitado a MITRE a través de cveform.mitre.org
2026-07-12	CVE-2026-39200 asignado por el Equipo de Asignación de MITRE
2026-07-19	Aviso público publicado

ID CVE	CVE-2026-39200
Tipo de Vulnerabilidad	CWE-79 — Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web (XSS Reflejado)
Producto Afectado	Toko Online RotI (tienda online indonesia)
Parámetro Afectado	`produk`
Descubridor	Uzair Ali (r00tali) — Probador de Penetración / Cazador de Bug Bounties
Fecha de Descubrimiento	2026-07-03
CVE Asignado	2026-07-12
Aviso Publicado	2026-07-19

CVE-2026-39200

Más Populares

Acerca de

Detalles de la Vulnerabilidad

Payload de Prueba de Concepto

Patrón Vulnerable (Conceptual)

Solicitud HTTP (Reproducción)

Respuesta HTTP (Extracto)

Pasos de Reproducción

Impacto

Mitigación

Cronología de Divulgación

Descubridor

Referencias

Aviso Legal