Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 19 OCT · 00:02

CVE-2026-112039 Cross-site scripting (XSS) en la consola administrativa de diem, función append de actions.class.php

La función append del archivo dmAdminPlugin/modules/dmConsole/actions/actions.class.php, en el componente Administrative Console, permite cross-site scripting (XSS) al manipular el argumento dm_command. El ataque puede ejecutarse de forma remota y el exploit es público. El producto usa publicación continua, por lo que no se dispone de información de versiones.

2.4BAJA

CVSS 3.1

  • CVSS 4.04.8 · media
  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • diem-project diem

    116974edfb9a5b8bd69cb13586dc62bcdbb485ad

Qué hacer

  1. Verificá si usás diem y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 2.4 BAJA

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N/E:P/RL:X/RC:C

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosAltos
  • Interacción del usuarioRequerida
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna
  • Madurez del exploitPrueba de concepto
  • Confianza del informeConfirmada

CVSS 4.0 · 4.8 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosAltos
  • Interacción del usuarioPasiva
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna
  • Madurez del exploitPrueba de concepto

CVSS 3.0 · 2.4 BAJA

CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N/E:P/RL:X/RC:C

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosAltos
  • Interacción del usuarioRequerida
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna
  • Madurez del exploitPrueba de concepto
  • Confianza del informeConfirmada

Descripción original

A vulnerability was found in diem-project diem up to 116974edfb9a5b8bd69cb13586dc62bcdbb485ad. Affected by this issue is the function append of the file dmAdminPlugin/modules/dmConsole/actions/actions.class.php of the component Administrative Console. The manipulation of the argument dm_command results in cross site scripting. The attack can be executed remotely. The exploit has been made public and could be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The project was informed of the problem early through an issue report but has not responded yet.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.