turkios/cve-2026-32699-facturascripts-nick-bypassControl de Acceso Roto en el controlador EditUser de FacturaScripts permite a usuarios autenticados renombrar cualquier cuenta (incluida la de administrador) modificando el parámetro nick no validado mediante la interceptación de proxy. CVE parcheado pero no publicado.
La aplicación no valida el parámetro nick durante una solicitud POST al controlador EditUser. Aunque la interfaz de usuario impide editar este campo, un usuario puede omitir esta restricción mediante un proxy para renombrar cualquier cuenta (incluida la del Administrador). Esto conduce a un Control de Acceso Roto y a una potencial Corrupción del Registro de Auditoría.
La vulnerabilidad existe en la lógica de actualización de usuarios. Cuando se envía una solicitud POST a /EditUser, el backend procesa el parámetro nick del form-data sin verificar:
nick en el cuerpo:
admin a Vulnerable (o cualquier otra cadena)Resultado: La aplicación cierra la sesión del usuario. Vuelva a iniciar sesión usando el nombre de usuario Vulnerable + la contraseña original.
Un atacante puede sabotear eficazmente el registro de auditoría del sistema, realizando acciones maliciosas y luego renombrando su cuenta para evadir la detección o incriminar a otros usuarios. Esta falla en la rendición de cuentas facilita la suplantación de identidad y arriesga la corrupción de datos, ya que las referencias internas al nombre de usuario original quedan huérfanas, socavando la integridad general del entorno multiusuario.
