EXPLOIT PÚBLICODetectada 14 OCT · 04:53

CVE-2026-41456 Cross-site scripting reflejado en el plugin de búsqueda de Bludit CMS

Bludit CMS, en versiones anteriores al commit 6732dde, contiene una vulnerabilidad de cross-site scripting (XSS) reflejado en el plugin de búsqueda que permite a atacantes no autenticados inyectar JavaScript arbitrario mediante una consulta de búsqueda maliciosa. Los atacantes pueden ejecutar scripts maliciosos en los navegadores de los usuarios que visiten URL manipuladas, con posibilidad de robar cookies de sesión o realizar acciones en nombre de los usuarios afectados.

5.1MEDIA

CVSS 4.0

Probabilidad de explotación2,7 %
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

bludit
hasta 3.20

Qué hacer

Verificá si usás bludit y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Priorizá la corrección: hay código de explotación público.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

lowlevelsec/Reflected-XSS-Bludit-CVE-2026-41456 Implementation of varios cross site scripting payloads to exploit CVE-2026-4145614 OCT · 04:53

Calculadora CVSS

CVSS 4.0 · 5.1 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioActiva
Confidencialidad (sistema vulnerable)Ninguna
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Baja
Integridad (sistemas posteriores)Baja
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Bludit CMS prior to commit 6732dde contains a reflected cross-site scripting vulnerability in the search plugin that allows unauthenticated attackers to inject arbitrary JavaScript by crafting a malicious search query. Attackers can execute malicious scripts in the browsers of users who visit crafted URLs containing the payload, potentially stealing session cookies or performing actions on behalf of affected users.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.