CVE-2026-120190 Cross-site scripting en el editor de descripciones de envíos de PostyBirb Plus
PostyBirb Plus hasta 3.1.75 presenta cross-site scripting en funcionalidad no especificada del archivo ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx del componente Submission Description Editor. El ataque puede realizarse de forma remota y el exploit es público. Actualizar a la versión 3.1.76 resuelve el problema (parche 6b11c2345ad98ae59fd5404a9f1024eb1d10c8a4).
CVSS 3.1
- CVSS 4.05.1 · media
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 33
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
PostyBirb Plus
3.1.03.1.13.1.23.1.33.1.43.1.53.1.63.1.73.1.83.1.93.1.103.1.113.1.123.1.133.1.143.1.153.1.163.1.173.1.183.1.193.1.203.1.213.1.223.1.23
Qué hacer
- Verificá si usás PostyBirb Plus y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.5 BAJA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 5.1 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 3.5 BAJA
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A security flaw has been discovered in PostyBirb Plus up to 3.1.75. Affected by this vulnerability is an unknown functionality of the file ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx of the component Submission Description Editor. The manipulation results in cross site scripting. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. Upgrading to version 3.1.76 addresses this issue. The patch is identified as 6b11c2345ad98ae59fd5404a9f1024eb1d10c8a4. It is advisable to upgrade the affected component.
Referencias (9)
- vuldb.com/vuln/429529
- vuldb.com/vuln/429529/cti
- vuldb.com/cve/CVE-2026-120190
- vuldb.com/submit/1027356
- github.com/mvdicarlo/postybirb-plus/issues/504
- github.com/mvdicarlo/postybirb-plus/pull/506
- github.com/user-attachments/files/32685547/report.md
- github.com/mvdicarlo/postybirb-plus/commit/6b11c2345ad98ae59fd5404a9f1024eb1d10c8a4
- github.com/mvdicarlo/postybirb-plus/releases/tag/v3.1.76
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.