Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 20 OCT · 06:08

CVE-2026-11960 Enumeración de usuarios en FacturaScripts

La aplicación devuelve respuestas distintas al intentar iniciar sesión con un usuario válido frente a uno inválido en FacturaScripts 2025.61. Un atacante no autenticado podría identificar sistemáticamente usuarios válidos y usar esa lista para ataques de fuerza bruta, password spraying, credential stuffing o ingeniería social.

6.9MEDIA

CVSS 4.0

  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • FacturaScripts

    2025.61

Qué hacer

  1. Verificá si usás FacturaScripts y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioPasiva
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Enumeration of unauthenticated users in FacturaScripts, version 2025.61. The application returns different responses when attempting to log in with a valid username compared to an invalid one. An unauthenticated attacker could systematically identify valid usernames by examining variations in the application’s responses, such as changes in response time, discrepancies between error messages or differences in HTTP status codes. A successful exploit allows the attacker to compile a list of valid user accounts. This list could be used to carry out targeted brute-force attacks, password spraying, credential stuffing or social engineering campaigns against the confirmed accounts.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.