Múltiples vulnerabilidades en TPVEnlanube

Múl­ti­ples vul­ne­ra­bi­li­da­des en TP­VEn­la­nu­be Lun, 28/09/2026 - 09:53 Aviso Re­cur­sos Afec­ta­dos TP­VEn­la­nu­be. Des­crip­ción INCIBE ha coor­di­na­do la pu­bli­ca­ción de 3 vul­ne­ra­bi­li­da­des de se­ve­ri­dad media que afec­tan a TP­VEn­la­nu­be, un soft­wa­re para la ges­tión de in­ven­ta­rios, al­ma­ce­nes, pe­di­dos y pro­vee­do­res. Las vul­ne­ra­bi­li­da­des han sido des­cu­bier­tas por David Pa­di­lla Al­va­ra­do. A estas vul­ne­ra­bi­li­da­des se les han asig­na­do los si­guien­tes có­di­gos, pun­tua­ción base CVSS v4.0, vec­tor del CVSS y el tipo de vul­ne­ra­bi­li­dad CWE de cada vul­ne­ra­bi­li­dad: Desde CVE-2026-7170 hasta CVE-2026-7172: 4.8 | CVSS:4.0/AV:X/AC:X/PR:X/UI:X/S:X/C:X/I:X/A:X | CWE-79 Iden­ti­fi­ca­dor INCIBE-2026-668 So­lu­ción No hay so­lu­ción re­por­ta­da por el mo­men­to. De­ta­lle Vul­ne­ra­bi­li­dad de tipo Cross-Site Scrip­ting (XSS) al­ma­ce­na­do en TP­VEn­la­nu­be que afec­ta a los si­guien­tes end­points y pa­rá­me­tros: CVE-2026-7170: pa­rá­me­tro ' ven­dor_store_name ' en el end­point '/ad­mi­nis­tra­tor/index.php?pshop_mode=admin&page=store.store_add&op­tion=com_vir­tue­mart&ven­dor_id=[ID] '. CVE-2026-7171: pa­rá­me­tro ' Ape­lli­do 1 ' en el end­point ' /ad­mi­nis­tra­tor/index.php?page=admin.user_add&user_id=45&op­tion=com_vir­tue­mart '. CVE-2026-7172: pa­rá­me­tro ' Nom­bre Com­ple­to ' en el end­point ' /ad­mi­nis­tra­tor/index.php?op­tion=com_vir­tue­mart&page=admin.user_list '. La ex­plo­ta­ción exi­to­sa de esta vul­ne­ra­bi­li­dad po­dría per­mi­tir a un ata­can­te au­ten­ti­ca­do in­yec­tar có­di­go ma­li­cio­so y eje­cu­tar­lo en los na­ve­ga­do­res de los usua­rios sin su con­sen­ti­mien­to. 3 - Media Lis­ta­do de re­fe­ren­cias Pá­gi­na web de TP­VEn­la­nu­be Eti­que­tas 0day CNA Vul­ne­ra­bi­li­dad XSS CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-7170 Media No TP­VEn­la­nu­be CVE-2026-7171 Media No TP­VEn­la­nu­be CVE-2026-7172 Media No TP­VEn­la­nu­be…