CVE-2026-55872 Cross-site scripting almacenado en la lista de usuarios de GYM One

Qué es CVE-2026-55872

Antes de 1.4.1, admin/users/index.php de GYM One renderiza los campos firstname, lastname y email almacenados en la lista de usuarios del administrador sin codificar la salida HTML. Quien pueda almacenar valores en esos campos puede ejecutar contenido en el navegador del administrador al visitar /admin/users/, accediendo a datos de sesión o realizando acciones con sus privilegios hasta que se elimine el registro.

Productos y versiones afectadas

• mayerbalintdev GYM-One

  • < 1.4.1

Qué hacer

1. Verificá si usás GYM-One y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.7 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php renders the stored firstname, lastname, and email profile fields into the administrator user list without HTML output encoding. An attacker who can store values in those fields can cause content to execute in an administrator's browser when the administrator visits /admin/users/. The persistent script can access administrator-session data or perform actions with the administrator's privileges until the stored record is removed. This issue is fixed in version 1.4.1.

Referencias

• github.com/mayerbalintdev/GYM-One/security/advisories/GHSA-75g9-vp9w-5388X_REFSOURCE_CONFIRM
• github.com/mayerbalintdev/GYM-One/commit/d3a0cf134f0ab3ac12aee7dca283b93c4290dcc4X_REFSOURCE_MISC
• github.com/mayerbalintdev/GYM-One/releases/tag/V1.4.1X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 17:28VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.