Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en FacturaScripts

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-759 sobre dos vulnerabilidades de severidad media en FacturaScripts 2025.61, software libre de contabilidad y facturación.

Las vulnerabilidades identificadas como CVE-2026-11959 y CVE-2026-11960 afectan, respectivamente, a la gestión de entradas de usuario y al proceso de inicio de sesión. Ambas tienen una puntuación CVSS v4.0 de 6.9. La fuente indica que no existe explotación conocida de estas vulnerabilidades.

Recursos afectados

• FacturaScripts: 2025.61

Descripción de las vulnerabilidades

Las dos vulnerabilidades han sido descubiertas por daffi1238 y nandoll. Aunque comparten severidad media y puntuación CVSS, su naturaleza e impacto potencial son diferentes.

CVE-2026-11959 es una vulnerabilidad de tipo Cross-Site Scripting almacenado, clasificada como CWE-79. Afecta a los campos «ciudad» y «provincia» del endpoint «ListAlmacen», donde no se realiza una validación o sanitización adecuada de los datos introducidos por el usuario.

Un XSS almacenado ocurre cuando contenido malicioso introducido en una aplicación queda guardado y puede ejecutarse posteriormente en el navegador de otros usuarios que visualicen ese contenido. En este caso, la explotación requeriría que un atacante con privilegios bajos introdujera código JavaScript diseñado para ser procesado por el navegador de una víctima usuaria de la aplicación.

CVE-2026-11960 permite la enumeración de usuarios sin necesidad de autenticación. La aplicación ofrece respuestas distinguibles cuando se intenta iniciar sesión con un nombre de usuario existente frente a otro que no existe. Estas diferencias pueden apreciarse, por ejemplo, en los mensajes de error, los códigos HTTP o los tiempos de respuesta.

Esta circunstancia podría facilitar que un atacante identificase cuentas válidas de forma sistemática. Por sí sola, la vulnerabilidad no proporciona acceso a las cuentas, pero puede aportar información útil para intentos posteriores de fuerza bruta, pulverización de contraseñas, relleno de credenciales o campañas de ingeniería social dirigidas.

Impacto y nivel de riesgo

Los dos CVE cuentan con una puntuación base de 6.9 CVSS v4.0 y el vector CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N.

En el caso de CVE-2026-11959, la explotación es accesible a través de red, requiere privilegios bajos y precisa interacción de una persona usuaria. Si tiene éxito, podría permitir la ejecución de JavaScript arbitrario en el navegador de la víctima. Según el aviso, esto podría comprometer la confidencialidad del sistema, facilitar el secuestro de sesión o permitir una escalada desde una cuenta de usuario normal a una cuenta administradora mediante código JavaScript específicamente preparado. La fuente señala que esto puede incluir la extracción de tokens CSRF, incluso cuando se utilizan cookies httpOnly.

Para CVE-2026-11960, el principal impacto es la exposición de información sobre la existencia de cuentas de usuario. Una lista de nombres válidos puede reducir la incertidumbre de atacantes que intenten comprometer credenciales, aunque el aviso no indica que esta vulnerabilidad permita iniciar sesión ni acceder directamente a cuentas.

No hay explotación conocida de CVE-2026-11959 ni de CVE-2026-11960, de acuerdo con la información publicada.

Solución y medidas recomendadas

INCIBE-CERT informa de que ambas vulnerabilidades han sido corregidas mediante los siguientes commits del proyecto FacturaScripts:

• aa728f642b467bb73bf183067912bd97536d06a6
• ac32f1e2f5ca8b16b5c8f023a3d8824faa693155

Las organizaciones que utilicen FacturaScripts 2025.61 deberían revisar la disponibilidad y aplicación de las correcciones publicadas por el proyecto, siguiendo sus procedimientos habituales de actualización y validación.

Recomendaciones para organizaciones afectadas

• Identificar las instalaciones de FacturaScripts 2025.61 en uso dentro de la organización.
• Priorizar la aplicación de las correcciones asociadas a los commits indicados por INCIBE-CERT.
• Revisar los flujos que permitan a usuarios con privilegios bajos introducir o modificar datos en los campos «ciudad» y «provincia» del endpoint «ListAlmacen».
• Vigilar especialmente accesos y comportamientos anómalos relacionados con cuentas administrativas, dado el posible impacto del XSS almacenado sobre sesiones y privilegios.
• Reforzar la vigilancia de intentos de autenticación repetidos o dirigidos contra cuentas concretas, ya que la enumeración de usuarios podría utilizarse como fase previa a ataques contra credenciales.