CVE-2026-19876 Cross-site scripting reflejado en la página de error de login de INFINITT ULite
Una vulnerabilidad de cross-site scripting (XSS) reflejado en la página de error de login/SSO de INFINITT ULite 5.0.2.1_BN48_20260528 y anteriores permite a un atacante remoto no autenticado ejecutar JavaScript arbitrario en el navegador de una víctima que abre un enlace manipulado. Un parámetro de la solicitud no sanitizado se refleja sin codificación de salida. Corregido en ULite 5.0.2.1 BN50.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
INFINITT Healthcare INFINITT ULite
hasta 5.0.2.1_BN48_20260528
Qué hacer
- Verificá si usás INFINITT ULite y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.1 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
A reflected cross-site scripting (XSS) vulnerability in the login/SSO error page of INFINITT ULite 5.0.2.1_BN48_20260528 and earlier allows an unauthenticated remote attacker to execute arbitrary JavaScript in the browser of a victim who opens a crafted link. An unsanitized request parameter is reflected without output encoding. Fixed in ULite 5.0.2.1 BN50.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.