Vulnerabilidades y Avisos de Seguridad: Cross-Site Scripting reflejado en el software IsMyGym de Zuinq Studio

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-792 sobre una vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejado en IsMyGym, el software de gestión de centros deportivos, gimnasios y entrenadores de Zuinq Studio.

El fallo está identificado como CVE-2026-4316 y cuenta con una severidad media, con una puntuación base de CVSS v4.0: 5.1. La vulnerabilidad se ha corregido en la versión 6.0.85 del producto.

Recursos afectados

Están afectadas las instalaciones del software de gestión de gimnasios IsMyGym de Zuinq Studio en versiones anteriores a la v6.0.85.

Descripción de la vulnerabilidad

CVE-2026-4316 corresponde a una vulnerabilidad XSS reflejada, clasificada como CWE-79. Este tipo de fallo ocurre cuando una aplicación web incorpora en su respuesta datos controlados por el usuario sin aplicar un filtrado o codificación adecuados.

En este caso, el problema se localiza en el endpoint de reservas de IsMyGym. El parámetro ret se refleja en la respuesta HTTP sin la validación necesaria, lo que podría permitir la inclusión de código JavaScript arbitrario.

El vector asignado es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. La vulnerabilidad puede alcanzarse a través de red, no requiere autenticación ni privilegios previos y presenta una complejidad de ataque baja. Sin embargo, su explotación requiere interacción de la víctima.

Impacto y nivel de riesgo

Si un atacante lograse explotar la vulnerabilidad, podría conseguir que código JavaScript arbitrario se ejecutase en el navegador de una víctima dentro del contexto de IsMyGym. Según la información publicada, el impacto potencial afecta a la confidencialidad y a la integridad de la información accesible desde la sesión del usuario, sin impacto indicado sobre la disponibilidad.

La necesidad de interacción de la víctima es un factor relevante para valorar el riesgo práctico: el código inyectado tendría que ser procesado por el navegador de un usuario. La fuente clasifica la severidad como media.

No se ha indicado explotación conocida de CVE-2026-4316. Por tanto, la existencia de la vulnerabilidad no implica que se estén produciendo ataques activos contra instalaciones de IsMyGym.

Solución y medidas recomendadas

Zuinq Studio ha solucionado la vulnerabilidad en la versión 6.0.85 de IsMyGym. Las organizaciones que utilicen versiones anteriores deben planificar la actualización a esta versión corregida.

La actualización debe evaluarse y aplicarse conforme a los procedimientos internos de gestión de cambios de cada organización, verificando posteriormente la versión instalada.

Recomendaciones para organizaciones afectadas

• Identificar las instalaciones de IsMyGym y comprobar si ejecutan una versión anterior a la v6.0.85.
• Priorizar la actualización a la versión corregida proporcionada por Zuinq Studio.
• Considerar la interacción requerida por la víctima al evaluar la prioridad de remediación, sin retrasar la aplicación de la corrección disponible.
• Informar a los usuarios que accedan al módulo de reservas sobre la conveniencia de extremar la precaución ante enlaces o solicitudes inesperadas mientras se completa la actualización.