Vulnerabilidades y Avisos de Seguridad: Server-Side Request Forgery en la exportación a PDF de Wegow

Resumen de la alerta

INCIBE-CERT ha publicado un aviso sobre una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en la funcionalidad de exportación a PDF de gráficos de ventas de entradas de Wegow Technologies.

El problema afecta a la exportación de PDF disponible en el portal backoffice.wegow.com. La vulnerabilidad está identificada como CVE-2026-101300, se clasifica con severidad alta y está asociada a CWE-918.

La fuente indica que no existe explotación conocida y que, por el momento, no se ha reportado una solución oficial.

Recursos afectados

El recurso afectado es la funcionalidad de exportación a PDF de gráficos de ventas de entradas del portal backoffice.wegow.com.

Descripción de la vulnerabilidad

CVE-2026-101300 describe una vulnerabilidad SSRF en el proceso de generación de documentos PDF. Este tipo de fallo se produce cuando un servicio puede ser inducido a realizar peticiones HTTP hacia recursos elegidos o controlados por un atacante.

Según la información publicada, un usuario autenticado con una cuenta de promotor puede modificar el parámetro <svg> de la solicitud POST generada al utilizar la opción Descargar PDF.

El contenido enviado se procesa mediante el servicio export.highcharts.com. El comportamiento descrito permitiría que dicho servicio realizase solicitudes HTTP a recursos externos bajo control del atacante e incorporase las respuestas obtenidas en el PDF resultante.

En la práctica, el servicio de exportación podría utilizarse como intermediario para efectuar estas peticiones. La debilidad está catalogada como CWE-918: Server-Side Request Forgery (SSRF).

Impacto y nivel de riesgo

La vulnerabilidad cuenta con una puntuación base CVSS v4.0 de 7.1, aunque INCIBE-CERT indica que tanto la puntuación como el vector están pendientes de validación:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:L/SI:L/SA:N

La explotación requiere que el atacante disponga de una cuenta autenticada con perfil de promotor. No se requiere interacción adicional de otra víctima según el vector publicado.

De tener éxito, el comportamiento descrito podría permitir al atacante usar el servicio de exportación para solicitar recursos externos e incluir sus respuestas en los archivos PDF generados. El vector CVSS asigna impacto sobre la integridad de la información vulnerable y sobre la confidencialidad e integridad de un sistema posterior.

No obstante, la fuente no informa de ataques reales ni de explotación activa. El estado publicado para este CVE es Explotación: No, por lo que debe diferenciarse la existencia de la vulnerabilidad de cualquier uso confirmado en entornos reales.

Solución y medidas recomendadas

No hay solución reportada por el momento. INCIBE-CERT no ha publicado parches, versiones corregidas ni medidas de mitigación oficiales para esta vulnerabilidad.

Mientras se dispone de información adicional o de una corrección por parte del proveedor, las organizaciones que utilicen esta funcionalidad pueden valorar medidas preventivas relacionadas directamente con el riesgo identificado. Estas actuaciones no sustituyen una solución oficial.

Recomendaciones para organizaciones afectadas

• Identificar si la organización utiliza la exportación a PDF de gráficos de ventas en backoffice.wegow.com.
• Revisar qué usuarios disponen de cuentas de promotor y aplicar el principio de mínimo privilegio en la asignación y mantenimiento de estos accesos.
• Supervisar el uso de la funcionalidad Descargar PDF, especialmente ante solicitudes de exportación inusuales o no justificadas.
• Valorar restricciones operativas sobre el uso de la exportación a PDF si el nivel de riesgo interno lo requiere, hasta que exista una solución oficial.
• Mantener seguimiento de las comunicaciones de Wegow Technologies e INCIBE-CERT para conocer la disponibilidad de futuras correcciones o instrucciones del fabricante.

La vulnerabilidad fue descubierta por Cosme Vázquez Tomé y está registrada por INCIBE-CERT con el identificador INCIBE-2026-755.