- Las cargas de SVG maliciosas en DotNetNuke ejecutan JavaScript cuando se hace clic
- Los ataques requieren solo un clic de administrador para desencadenar un compromiso total del servidor
- La falla XSS permite a los atacantes operar utilizando la sesión autenticada de la víctima
Los ciberdelincuentes ahora pueden encadenar exploits y obtener el control de los servidores web explotando una vulnerabilidad crítica de secuencias de comandos entre sitios (XSS) en el CMS DotNetNuke.
La falla, identificada como CVE-2026-40321, afecta a la popular plataforma de código abierto construida con tecnología de Microsoft y opera en más de 750.000 sitios web en todo el mundo.
Según Pentest Tools, un archivo SVG malicioso que contiene código JavaScript se puede cargar como una imagen y al hacer clic en este archivo se ejecuta la carga útil incrustada y se escribe un archivo de puerta trasera directamente en el servidor.
El artículo continúa a continuación.
Cómo los atacantes evitan los filtros CMS para cargar archivos maliciosos
De forma predeterminada, DotNetNuke permite a los usuarios registrar cuentas y cargar archivos SVG en su propio directorio de usuarios.
Incluso si estos archivos SVG contienen JavaScript dentro de una etiqueta de anclaje, el filtro de contenido de la plataforma no bloquea la carga, y si una víctima hace clic en un archivo SVG que contiene una carga útil simple, esto es suficiente para activar XSS.
Dado que el botón “haz clic en mí” ahora generalmente parece sospechoso, algunos atacantes incrustan una imagen de página de inicio de sesión falsa en el SVG.
Una vez que una víctima hace clic en una imagen atrapada, la carga útil de JavaScript se ejecuta en el navegador utilizando la sesión autenticada existente.
Luego, los atacantes explotan /API/personaBar/ConfigConsole/UpdateConfigFile, un punto final autenticado que otorga a los usuarios privilegios suficientes para escribir archivos en el servidor.
Payload crea un nuevo shell web ASPX, esencialmente una puerta trasera que acepta comandos a través de parámetros URL.
Con él, un atacante ejecuta malware, roba datos o desactiva herramientas de seguridad en el servidor Windows subyacente.
¿Por qué es peligrosa la vulnerabilidad?
Esta vulnerabilidad es peligrosa porque la cadena de ataques anula por completo las defensas de seguridad habituales.
Todo lo que un atacante necesita es convencer a un único usuario privilegiado para que haga clic en una imagen maliciosa, lo que puede comprometer todo el sistema: no se requieren contraseñas ni software de servidor que explotar.
El software antivirus habitual será de poca o ninguna ayuda en este caso, ya que no puede detectar el ataque.
La carga útil maliciosa se entrega a través de un archivo SVG válido y se ejecuta con funciones nativas del navegador, por lo que la herramienta se vuelve irrelevante.
Un firewall configurado no bloqueará las conexiones salientes porque el ataque utiliza tráfico HTTP estándar.
Las herramientas de eliminación de malware son ineficaces contra una puerta trasera que nunca se instaló de la forma tradicional, sino que se escribió en el disco mediante una solicitud autenticada.
La vulnerabilidad es grave, pero afortunadamente el ataque sólo funciona cuando varias condiciones se alinean perfectamente.
Un atacante necesita una cuenta registrada en el sitio de destino, la capacidad de cargar archivos SVG y un usuario privilegiado para hacer clic en archivos adjuntos sospechosos.
Por lo tanto, los administradores deben estar atentos, verificar las extensiones de archivos y desactivar las cargas innecesarias de usuarios por motivos de seguridad.
Si bien existe un parche oficial para la vulnerabilidad, las organizaciones que ejecutan DotNetNuke deben priorizar y los administradores también deben revisar las políticas de registro de usuarios.
Si no se requieren cargas de archivos anónimos, se deben desactivar inmediatamente.
Siga TechRadar en Google News Y Agréganos como fuente preferida Recibe noticias, reseñas y opiniones de nuestros expertos en tu feed.
