CVE-2026-64944 Cross-site scripting (XSS) almacenado en la importación de contenido de Apache Answer

Qué es CVE-2026-64944

El importador almacena los cuerpos de preguntas importadas como HTML sin pasar por la ruta normal de sanitización de Markdown a HTML, por lo que HTML controlado por el atacante en una fuente importada se persiste y se renderiza a todos los visores, incluidos usuarios privilegiados, como XSS almacenado. Afecta a Apache Answer hasta la versión 2.0.2; se corrige en la 2.0.3.

Productos y versiones afectadas

• Apache Software Foundation Apache Answer

  • hasta 2.0.2

Qué hacer

1. Verificá si usás Apache Answer y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Apache Answer. This issue affects Apache Answer: through 2.0.2. The importer stores imported question bodies as raw HTML without passing them through the normal Markdown-to-HTML sanitization path, so attacker-controlled HTML embedded in an imported data source is persisted and rendered to all viewers (including privileged users) as stored XSS. Users are recommended to upgrade to version 2.0.3, which fixes the issue.

Referencias

• lists.apache.org/thread/2cjdm4pdrrvj0t6cgcfyo3hot9vq72kbVENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/16/23

Historial de la alerta

1. 19 OCT · 08:23VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.