CVE-2026-123094 Cross-site scripting almacenado en Huginn vía nombre de servicio OAuth
Huginn antes de 2026.11.05 marca como html_safe los nombres de visualización de servicios OAuth sin escapar en el helper service_label. Un atacante autenticado puede conectar una cuenta OAuth con un nickname, name o email manipulado y compartirla globalmente, ejecutando JavaScript cuando las víctimas la asocian a Agents y los visualizan, exponiendo Credentials, Agents y Events, y acciones de administrador si la víctima es administradora.
CVSS 3.1
- CVSS 4.05.1 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 7
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
huginn
hasta antes de 2026.11.05
Qué hacer
- Verificá si usás huginn y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 5.1 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Baja
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Huginn before 2026.11.05 contains a stored cross-site scripting vulnerability in the service_label helper that marks unescaped OAuth service display names as html_safe. Authenticated attackers can connect an OAuth account with a crafted nickname, name or email and share it globally, executing JavaScript when victims attach it to Agents and view them, exposing Credentials, Agents and Events, and admin actions if the victim is an administrator.
Referencias (7)
- github.com/huginn/huginn/security/advisories/GHSA-rjw9-xx87-f2ww
- github.com/huginn/huginn/commit/92229a5e7343bfffc740d31e42b9654b212b678b
- github.com/huginn/huginn/blob/v2026.11.01/app/helpers/application_helper.rb#L78-L88
- hackmd.io/@leediay/SJtUoLFTfx
- github.com/huginn/huginn/releases/tag/v2026.11.05
- github.com/huginn/huginn
- www.vulncheck.com/advisories/huginn-before-2026.11.05-stored-xss-via-oauth-service-displa…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.