Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICODetectada 13 OCT · 23:01

CVE-2026-105950 Cross-site scripting en el sanitizador de URI de getformwork

Vulnerabilidad en getformwork formwork hasta la 2.3.12 en la función DomSanitizer::sanitizeNodeAttribute del archivo formwork/src/Sanitizer/DomSanitizer.php, componente URI Sanitizer. La manipulación del argumento formaction provoca cross-site scripting; el ataque puede lanzarse de forma remota. Se recomienda actualizar a la versión 2.3.13.

3.5BAJA

CVSS 3.1

  • CVSS 4.05.1 · media
  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoSí, 1

Afectados

  • getformwork formwork

    2.3.02.3.12.3.22.3.32.3.42.3.52.3.62.3.72.3.82.3.92.3.102.3.112.3.12

Qué hacer

  1. Verificá si usás formwork y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: hay código de explotación público.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 3.5 BAJA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:X/RL:O/RC:C

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioRequerida
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna
  • Nivel de remediaciónCorrección oficial
  • Confianza del informeConfirmada

CVSS 4.0 · 5.1 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioPasiva
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

CVSS 3.0 · 3.5 BAJA

CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:X/RL:O/RC:C

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioRequerida
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna
  • Nivel de remediaciónCorrección oficial
  • Confianza del informeConfirmada

Descripción original

A security vulnerability has been detected in getformwork formwork up to 2.3.12. Impacted is the function DomSanitizer::sanitizeNodeAttribute of the file formwork/src/Sanitizer/DomSanitizer.php of the component URI Sanitizer. Such manipulation of the argument formaction leads to cross site scripting. The attack may be launched remotely. Upgrading to version 2.3.13 is recommended to address this issue. The name of the patch is 729701e59c5886685c5a1d477bdc3035e41f18b1. Upgrading the affected component is advised.

Referencias (9)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.