CVE-2026-14933 XSS en la función de co-browsing embebido de Unblu Spark

Qué es CVE-2026-14933

Cross-site scripting en la función de co-browsing embebido de Unblu Spark 7.0 a 7.57.7 y 8.0 a 8.39.2, en despliegues on-premises y cloud, permite a un atacante remoto no autenticado en rol de visitante ejecutar JavaScript arbitrario en el navegador de un agente que participa en la sesión de co-browsing del atacante, mediante contenido de la página co-navegada que el navegador del agente renderiza como HTML. El script se ejecuta en el contexto y bajo la identidad de la sesión del agente en Agent Desk o Single…

Productos y versiones afectadas

• Unblu inc. Unblu Spark

  • desde 7.0 hasta 7.57.7
  • desde 8.0 hasta 8.39.2

Qué hacer

1. Verificá si usás Unblu Spark y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.6 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Cross-site scripting in the embedded co-browsing feature in Unblu inc. Unblu Spark 7.0 through 7.57.7 and 8.0 through 8.39.2, on on-premises and cloud deployments, allows an unauthenticated remote attacker in the visitor role to execute arbitrary JavaScript in the browser of an agent taking part in the attacker's co-browsing session, via content of the co-browsed page that the agent's browser renders as HTML. The JavaScript runs in the context and under the identity of the agent's session in the Agent Desk or the Single Conversation Desk. Exploitation requires an agent to join an embedded co-browsing session with the attacker. Mobile co-apping isn't affected.

Referencias

• docs.unblu.com/latest/security-bulletins/#UBL-2026-004VENDOR-ADVISORY

Historial de la alerta

1. 20 OCT · 10:19VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.