DotNetNuke.Core Vulnerable a XSS Almacenado a través del Título del Módulo

La vulnerabilidad XSS en DotNetNuke.Core permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador de un usuario autenticado. Esto puede resultar en el robo de cookies de sesión, redirecciones maliciosas, defacement del sitio web, o la ejecución de acciones en nombre del usuario. Un atacante podría, por ejemplo, inyectar un script que capture las credenciales de inicio de sesión de un administrador, permitiéndole tomar el control completo del sitio web. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y al potencial impacto en la confidencialidad, integridad y disponibilidad del sistema.

Websites and applications utilizing DotNetNuke.Core versions 9.9.1 and earlier are at risk. This includes organizations relying on DotNetNuke for content management and those hosting DotNetNuke installations on shared hosting environments, where vulnerabilities can be more easily exploited due to limited control over the underlying infrastructure.

• .NET / web: Inspect module title fields for unusual characters or patterns indicative of JavaScript injection. Use browser developer tools to monitor for unexpected script execution. • .NET / web: Review DotNetNuke logs for suspicious activity related to module creation or modification. • .NET / web: Utilize a WAF to detect and block requests containing potentially malicious rich text content in module titles. Look for patterns like <script> tags or event handlers. • .NET / web: Monitor for unusual network traffic originating from the DotNetNuke server, which could indicate exploitation.

1. 2026-01-28Disclosure

   disclosure

1. Reservado2026-01-27
2. Publicada2026-01-28
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-24838 es actualizar DotNetNuke.Core a la versión 9.13.10 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario, especialmente aquellas relacionadas con el título del módulo. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de XSS. Verifique que la configuración de seguridad de DotNetNuke.Core esté optimizada para prevenir ataques XSS.