Múltiples vulnerabilidades en el panel de administración de Microweber
Cosa significa
INCIBE-CERT ha identificato due vulnerabilità in Microweber (v2.0.19), una di severità alta (CVE-2026-5695) e una di severità media (CVE-2026-5696). La prima permette la caricatura di file arbitrari e l'esecuzione di codice malizioso, la seconda è un XSS refletto. Non è stata segnalata una soluzione al momento. L'attacco richiede l'autenticazione e potrebbe portare al compromesso del sistema.
Perché conta
Le vulnerabilità possono portare al compromesso del sistema e al furto di dati sensibili, con impatti significativi per le PMI che utilizzano Microweber per la gestione di siti web e negozi online. La mancanza di patch potrebbe esporre le aziende a attacchi mirati.
Azioni consigliate
- Applica patch o aggiorna a versioni successive di Microweber
- Riduci l'esposizione del pannello di amministrazione a Internet
- Implementa un sistema di controllo degli accessi (RBAC) per limitare le credenziali di amministratore
- Abilita la protezione contro gli script XSS (es. filtri di input)
- Monitora i log di accesso al pannello di amministrazione per rilevare attività sospette
- Esegui backup regolari e testa la ripristinabilità dei dati
- Configura regole di firewall per bloccare accessi non autorizzati al pannello di amministrazione
Benefici operativi potenziali
- Riduzione della superficie esposta al rischio di attacco
- Minimizzazione del rischio di compromissione del sistema
- Miglioramento della sicurezza delle credenziali di amministrazione
- Riduzione del rischio di furti di dati sensibili
Traduzione in elaborazione
Il contenuto ufficiale è disponibile nella lingua originale. La versione italiana verrà pubblicata al termine dei controlli automatici.
Testo acquisito dalla fonte
Múltiples vulnerabilidades en el panel de administración de Microweber Mié, 23/09/2026 - 10:00 Aviso Recursos Afectados Panel de administración de Microweber en la versión v2.0.19. Descripción INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad alta y otra de severidad media, que afectan a Microweber, creador de sitios web con tienda online. Las vulnerabilidades han sido descubiertas por David Aparicio Salcedo. A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE de cada vulnerabilidad: CVE-2026-5695: CVSS v4.0: 8.4 | CVSS AV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-434 CVE-2026-5696: CVSS v4.0: 5.9 | CVSS AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-79 Identificador INCIBE-2026-661 Solución No hay solución reportada por el momento. Detalle CVE-2026-5695 : vulnerabilidad de carga arbitraria de archivos debido a la falta de validación adecuada en los formularios de subida. Esto permite a usuarios autenticados alojar archivos en el servidor sin restricciones. Un atacante podría explotar este fallo para ejecutar código malicioso de forma remota (demostrado mediante la carga del archivo de prueba EICAR), lo que podría derivar en el compromiso total del sistema. CVE-2026-5696 : Cross-Site Scripting (XSS) reflejado en Microweber. La vulnerabilidad se encuentra en el parámetro group del endpoint ' /admin/settings ' del panel de administración. Una explotación exitosa permite a un atacante engañar a un usuario autenticado para que ejecute código JavaScript malicioso en su navegador. Esto facilita al atacante la realización de acciones sin el consentimiento de la víctima, el robo de información confidencial o el secuestro de la sesión d
- Fonte
- INCIBE-CERT (Spagna)
- Entità pubblicatrice
- INCIBE-CERT
- Tipo entità
- CSIRT nazionale
- Area
- Europe · ES
- Lingua originale
- es · traduzione in preparazione
- Pubblicazione
- 23/09/2026 10:00
- MITRE ATT&CK
- T1078
- CVE
- CVE-2026-5695, CVE-2026-5696
- Classificazione
- Alta
- Paese indicato
- ES
Prodotti e versioni interessati
Il collector verificherà NVD e gli advisory vendor ufficiali disponibili.