Vulnerabilidades y Avisos de Seguridad: Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations

Resumen de la alerta

INCIBE-CERT ha informado de una vulnerabilidad de severidad media en la configuración de tiempo de ejecución de PHP-CGI/PHP-FPM utilizada por ICT Innovations en su paquete web multiusuario. El problema afecta al software ICTBroadcast, específicamente a su entorno de demostración.

La vulnerabilidad está identificada como CVE-2026-7190 y consiste en un Cross-Site Scripting reflejado (XSS). Tiene una puntuación CVSS v4.0 de 5.1 y se clasifica mediante CWE-79, categoría que engloba fallos de neutralización inadecuada de datos introducidos por usuarios en contenido web.

La fuente señala que no existe explotación conocida de esta vulnerabilidad. No obstante, su explotación podría permitir la ejecución de JavaScript arbitrario en el navegador de una víctima que acceda a una URL manipulada.

Recursos afectados

• ICTBroadcast, de ICT Innovations.
• Entorno de demostración afectado por una configuración de tiempo de ejecución insegura en PHP-CGI/PHP-FPM.

El aviso no especifica versiones afectadas ni versiones corregidas.

Descripción de las vulnerabilidades

CVE-2026-7190 es una vulnerabilidad XSS reflejada localizada en el endpoint login.php. El parámetro editForm[extension_username] se incorpora a la respuesta de la aplicación sin aplicar un filtrado adecuado.

Un XSS reflejado ocurre cuando una aplicación devuelve al navegador datos recibidos en una petición sin tratarlos de forma segura. En este caso, un atacante podría preparar una URL maliciosa que incluyera contenido JavaScript en el parámetro vulnerable. Si la víctima accediera a esa dirección, el navegador podría ejecutar dicho código en el contexto de la aplicación web.

El vector CVSS publicado es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Esto indica que el ataque puede realizarse a través de red, no requiere privilegios previos ni condiciones adicionales de ataque, pero sí necesita interacción de la víctima al acceder a la URL preparada.

Impacto y nivel de riesgo

La explotación con éxito podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de una víctima. Según la evaluación publicada, el posible impacto se sitúa en los ámbitos de confidencialidad e integridad, ambos de nivel bajo, sin impacto indicado sobre la disponibilidad.

La interacción del usuario es un elemento relevante para valorar el riesgo práctico: la víctima tendría que acceder a la URL maliciosa para que el código pudiera ejecutarse en su navegador.

INCIBE-CERT clasifica el fallo como de severidad media y registra el estado de explotación como No. Por tanto, la alerta describe una vulnerabilidad existente y un escenario potencial de explotación, pero no confirma ataques activos ni explotación conocida contra organizaciones usuarias.

Solución y medidas recomendadas

El equipo de ICT Innovations solucionó la vulnerabilidad en marzo de 2026. El aviso disponible no detalla la versión corregida ni el procedimiento de actualización aplicable.

Las organizaciones que utilicen ICTBroadcast deberían consultar la información y los mecanismos de actualización proporcionados por el fabricante para verificar que su despliegue incorpora la corrección disponible.

Como medida preventiva complementaria, y no como sustitución de la corrección oficial, resulta aconsejable limitar la exposición del entorno de demostración cuando no sea necesario para la operación y evitar que usuarios accedan a enlaces no verificados relacionados con páginas de inicio de sesión.

Recomendaciones para organizaciones afectadas

1. Identificar si la organización utiliza ICTBroadcast y si mantiene expuesto o accesible su entorno de demostración.
2. Comprobar con ICT Innovations el estado de actualización del producto y aplicar la corrección publicada en marzo de 2026 conforme a las indicaciones del fabricante.
3. Priorizar la revisión de los accesos al endpoint login.php y, en particular, de solicitudes que empleen el parámetro editForm[extension_username], dentro de las capacidades de registro disponibles.
4. Informar a los usuarios con acceso al servicio sobre la necesidad de verificar los enlaces antes de abrirlos, especialmente cuando conduzcan a formularios de autenticación.