Inyección de código en el Core de Lutece

INCIBE coor­di­nó la di­vul­ga­ción de un fallo de se­gu­ri­dad ca­li­fi­ca­do como crí­ti­co en el nú­cleo de Lu­te­ce, un soft­wa­re de có­di­go abier­to uti­li­za­do por ad­mi­nis­tra­cio­nes mu­ni­ci­pa­les para la re­uti­li­za­ción y adap­ta­ción de ser­vi­cios di­gi­ta­les. El ha­llaz­go de esta de­bi­li­dad co­rres­pon­de a Do­rian Piet­te (Tra­chi­nus) y afec­ta a las ver­sio­nes 7.1.7 y an­te­rio­res de la pla­ta­for­ma.

El pro­ble­ma de se­gu­ri­dad, iden­ti­fi­ca­do con el có­di­go CVE-2026-4813 y una pun­tua­ción base CVSS v4.0 de 9.4, se lo­ca­li­za en el com­po­nen­te en­car­ga­do de la ges­tión de ex­por­ta­ción XSL. La falta de ac­ti­va­ción del modo de pro­ce­sa­mien­to se­gu­ro en la con­fi­gu­ra­ción XML/XSLT po­si­bi­li­ta que se eje­cu­ten fun­cio­nes de ex­ten­sión Java me­dian­te hojas de es­ti­lo XSL que han sido al­te­ra­das.

Un ata­can­te que posea per­mi­sos ad­mi­nis­tra­ti­vos tiene la ca­pa­ci­dad de car­gar un do­cu­men­to XSL de trans­for­ma­ción mo­di­fi­ca­do y pro­vo­car su ac­ti­va­ción al mo­men­to de rea­li­zar ex­por­ta­cio­nes de usua­rios. Como con­se­cuen­cia de esto, se logra la eje­cu­ción de có­di­go ar­bi­tra­rio di­rec­ta­men­te en el ser­vi­dor. Por su parte, el crea­dor del soft­wa­re ya ha lan­za­do una ac­tua­li­za­ción co­rrec­ti­va para so­lu­cio­nar este in­con­ve­nien­te.