CVE-2026-29971

Un atacante puede ejecutar JavaScript arbitrario en el navegador de la víctima, lo que podría provocar el secuestro de sesión o la escalada de privilegios.

CVE-2026-29971

Vulnerabilidad

Cross-Site Scripting reflejado (XSS)

Producto afectado

WebFileSys

Versión afectada

2.31.1

Descripción

Existe una vulnerabilidad de cross-site scripting reflejado en WebFileSys versión 2.31.1. La entrada controlada por el usuario se refleja en contextos HTML y JavaScript sin una codificación de salida adecuada, lo que permite a un atacante ejecutar JavaScript arbitrario en el navegador de la víctima.

Impacto

Un atacante puede explotar este problema induciendo a una víctima a interactuar con una solicitud o enlace manipulado. Una explotación exitosa puede conducir a:

• Secuestro de sesión
• Robo de credenciales
• Acciones no autorizadas dentro de la sesión autenticada

Componentes afectados

• Funcionalidad ftpBackup
• Manejo de la entrada de autenticación
• Funcionalidad de búsqueda
• Renderizado de mensajes de error

Pasos para reproducir

1. Navegar a la página de inicio de sesión de WebFileSys.
2. Inyectar el siguiente payload en el parámetro afectado.

Ejemplos de payloads que funcionaron: <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. Enviar la solicitud.
4. El payload se refleja y se ejecuta en el navegador.

CVE

CVE-2026-29971

Descubridor

Tharun Teja Chidurala

Referencias

https://www.cve.org/CVERecord?id=CVE-2026-29971