CVE-2026-71881 Cross-site scripting almacenado en Integrated Publishing Toolkit
Múltiples problemas de inyección en campos de metadatos de recursos de GBIF Integrated Publishing Toolkit en versiones anteriores a 3.3.5 permiten a atacantes remotos autenticados ejecutar código en la sesión de otro usuario tras la interacción de este, mediante cross-site scripting almacenado.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 36
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
GBIF Integrated Publishing Toolkit
hasta antes de 3.3.5
Qué hacer
- Verificá si usás Integrated Publishing Toolkit y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 4.8 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosAltos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Multiple injection issues in resource metadata fields in GBIF Integrated Publishing Toolkit versions before 3.3.5 allows authenticated remote attackers to execute code in another user's session after user interaction via stored cross-site scripting
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.