Cross-Site Scripting (XSS) almacenado en TAO 2.0 de T-Systems

Cross-Site Scrip­ting (XSS) al­ma­ce­na­do en TAO 2.0 de T-Sys­tems Vie, 18/09/2026 - 09:09 Aviso Re­cur­sos Afec­ta­dos TAO 2.0 Des­crip­ción INCIBE ha coor­di­na­do la pu­bli­ca­ción de una vul­ne­ra­bi­li­dad de se­ve­ri­dad media que afec­ta a la suite TAO 2.0 de T-Sys­tems, una pla­ta­for­ma de ges­tión para la ad­mi­nis­tra­ción pú­bli­ca. La vul­ne­ra­bi­li­dad ha sido des­cu­bier­ta por Ca­ye­tano de Juan Úbeda. A esta vul­ne­ra­bi­li­dad se le ha asig­na­do el si­guien­te có­di­go, pun­tua­ción base CVSS v4.0, vec­tor del CVSS y tipo de vul­ne­ra­bi­li­dad CWE: CVE-2026-92976: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-613 Iden­ti­fi­ca­dor INCIBE-2026-647 So­lu­ción La vul­ne­ra­bi­li­dad ha sido co­rre­gi­da en la ver­sión 2602.0.0. De­ta­lle CVE-2026-92976 : vul­ne­ra­bi­li­dad de Cross-Site Scrip­ting (XSS) al­ma­ce­na­do en la fun­cio­na­li­dad de ges­tión de per­fi­les de a la suite TAO 2.0 de T-Sys­tems. Un usua­rio au­ten­ti­ca­do po­dría in­tro­du­cir con­te­ni­do HTML o Ja­vaS­cript ma­li­cio­so en los cam­pos co­rres­pon­dien­tes a sus datos per­so­na­les. El con­te­ni­do in­tro­du­ci­do se al­ma­ce­na y se mues­tra sin una neu­tra­li­za­ción ade­cua­da cuan­do otro usua­rio, in­clui­do per­so­nal ad­mi­nis­tra­ti­vo, con­sul­ta la ficha afec­ta­da. La ex­plo­ta­ción exi­to­sa po­dría per­mi­tir la eje­cu­ción de có­di­go Ja­vaS­cript en el na­ve­ga­dor de la víc­ti­ma, el ac­ce­so a in­for­ma­ción dis­po­ni­ble en la se­sión o la rea­li­za­ción de ac­cio­nes con sus per­mi­sos. 3 - Media Lis­ta­do de re­fe­ren­cias WEB TAO Eti­que­tas Ac­tua­li­za­ción CNA Vul­ne­ra­bi­li­dad XSS CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-92976 Media No T-Sys­tems…