https://alertas.dupin.com.ar/fabricante/open-wanderer/Alertas de vulnerabilidades de open-wanderer.esFri, 06 Nov 2026 20:13:47 +000010https://alertas.dupin.com.ar/cve/CVE-2026-62345/tg:63796Fri, 06 Nov 2026 20:13:47 +0000VulnerabilidadEn Wanderer, antes de 0.19.3, un usuario autenticado puede almacenar un valor waypoint.icon manipulado que createMarkerFromWaypoint() pasa a FontawesomeMarker, donde insertAdjacentHTML lo inserta sin validar en el marcado del mapa. Al abrir el mapa afectado se ejecuta script del atacante en el navegador de la víctima, lo que puede exponer tokens de sesión o realizar acciones en su nombre. Datos federados también pueden alcanzar el sink sin cuenta local. Corregido en 0.19.3.https://alertas.dupin.com.ar/cve/CVE-2026-62346/tg:63795Fri, 06 Nov 2026 20:13:46 +0000VulnerabilidadEn Wanderer, antes de 0.19.3, un usuario local autenticado puede enviar valores waypoint.name y waypoint.icon manipulados que el gráfico de elevación interpola en una plantilla innerHTML en elevationprofile.ts sin codificación HTML ni validación de iconos. La víctima que ve el perfil de elevación ejecuta el script del atacante, que puede exponer datos de sesión o realizar acciones en su contexto. Waypoints federados permiten lo mismo sin cuenta local. Corregido en 0.19.3.https://alertas.dupin.com.ar/cve/CVE-2026-71495/tg:63794Fri, 06 Nov 2026 20:13:46 +0000VulnerabilidadEn Wanderer, antes de 0.20.0, cuando PUBLIC_PRIVATE_INSTANCE no está en true, el handler no autenticado POST /api/v1/trail/download pasa el campo JSON url controlado por el atacante directamente a event.fetch() y devuelve la respuesta. Esto permite solicitudes a servicios internos como db:8090 y search:7700, direcciones de metadatos de nube y otros destinos, exponiendo datos y permitiendo reconocimiento de red interna o denegación de servicio. Corregido en 0.20.0.