Vulnerabilidades y Avisos de Seguridad: Cross-Site Scripting reflejado en la videoteca de las Cortes de Castilla-La Mancha

Resumen de la alerta

INCIBE-CERT ha informado de una vulnerabilidad de severidad media en la aplicación web de la videoteca de las Cortes de Castilla-La Mancha. El fallo, identificado como CVE-2026-103377, corresponde a un Cross-Site Scripting reflejado o XSS reflejado.

La vulnerabilidad afecta al servicio accesible en http://videoteca.cortesclm.es/. Según la información publicada, fue descubierta por Sergio Ros Montero y corregida por el equipo de las Cortes de Castilla-La Mancha en octubre de 2026.

El aviso figura con una puntuación CVSS v4.0 de 5.1, clasificada como severidad media. INCIBE-CERT indica Explotación: No; por tanto, no se han comunicado ataques activos ni explotación conocida de esta vulnerabilidad.

Recursos afectados

El recurso afectado es la aplicación web de la videoteca de las Cortes de Castilla-La Mancha, accesible en http://videoteca.cortesclm.es/.

Descripción de la vulnerabilidad

CVE-2026-103377 está clasificada como CWE-79, una categoría que engloba las vulnerabilidades de Cross-Site Scripting o XSS.

En este caso, se trata de un XSS reflejado. Este tipo de fallo se produce cuando una aplicación incorpora datos proporcionados por el usuario en una página web sin neutralizarlos adecuadamente antes de que el navegador los interprete. Como consecuencia, un atacante podría preparar contenido malicioso y lograr que se ejecute código JavaScript arbitrario en el navegador de una víctima que interactúe con dicho contenido.

El vector publicado por INCIBE-CERT es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N. La métrica indica que el ataque puede realizarse a través de la red, no requiere autenticación ni privilegios previos y presenta una complejidad baja. Sin embargo, requiere interacción de la víctima, un factor relevante para valorar la exposición práctica.

Impacto y nivel de riesgo

Si la vulnerabilidad fuese explotada con éxito, un atacante remoto podría ejecutar JavaScript en el navegador de una persona que accediera o interactuara con el contenido preparado para el ataque. El impacto se produciría en el contexto de navegación de la víctima, no como una ejecución directa de código en el servidor de la videoteca.

La evaluación CVSS v4.0 de 5.1 refleja posibles afectaciones limitadas sobre la confidencialidad y la integridad, sin impacto indicado sobre la disponibilidad. También contempla consecuencias limitadas para sistemas posteriores, de acuerdo con las métricas de alcance recogidas en el vector.

No obstante, la explotación no se produce de forma automática: la víctima debe interactuar con el contenido malicioso. Además, la fuente no informa de explotación confirmada, campañas activas, indicadores de compromiso ni ataques observados relacionados con CVE-2026-103377.

Solución y medidas recomendadas

La vulnerabilidad fue solucionada por el equipo de las Cortes de Castilla-La Mancha en octubre de 2026. La información disponible no especifica versiones afectadas, versiones corregidas ni detalles técnicos sobre la corrección aplicada.

Para organizaciones responsables de aplicaciones web con funcionalidades equivalentes, las prácticas preventivas generales frente a XSS deben considerarse medidas complementarias y no una sustitución de la corrección ya aplicada:

• Validar los datos recibidos desde usuarios y otras fuentes no confiables conforme al contexto en el que vayan a utilizarse.
• Aplicar codificación de salida adecuada antes de insertar contenido dinámico en páginas HTML, atributos, scripts u otros contextos del navegador.
• Revisar los puntos de la aplicación que reflejen parámetros o entradas proporcionadas por usuarios.
• Comprobar que los cambios de seguridad desplegados se mantienen operativos en los entornos publicados.

Recomendaciones para organizaciones afectadas

• Confirmar que la aplicación de la videoteca dispone de la corrección aplicada por el equipo de las Cortes de Castilla-La Mancha.
• Priorizar la revisión de componentes que incorporen datos controlados por usuarios en la respuesta web.
• Informar a los equipos responsables de la aplicación sobre la existencia de CVE-2026-103377 y sobre el requisito de interacción de la víctima para una posible explotación.
• Mantener seguimiento de futuras comunicaciones oficiales que puedan aportar detalles adicionales sobre la corrección o el alcance técnico del aviso.