- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-67595 | webreinvent | VaahCMS | 2026-07-29 | CRITICAL | 9.2 | 205 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
VaahCMS versiones 2.0.0 a 2.3.4 incluyen un payload JavaScript obfuscado dentro de la plantilla Blade que se utiliza para generar correos electrónicos de OTP de seguridad. Cuando un navegador con JavaScript habilitado renderiza el correo, el script se ejecuta, estableciendo una conexión WebSocket con un punto final de comando y control codificado, instalando un keylogger en campos de contraseña mediante MutationObserver y extrayendo contenido del DOM de WhatsApp Web. Además, el payload acepta comandos remotos para redirigir o sobrescribir la página renderizada.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| webreinvent | VaahCMS | 2.0.0 – 2.3.4 |
Impacto y riesgo
La explotación de esta vulnerabilidad permite a un atacante remoto ejecutar código arbitrario en cualquier navegador que procese el correo OTP afectado. El riesgo incluye robo de credenciales (keylogging), exfiltración de datos de WhatsApp Web y la capacidad de manipular la experiencia del usuario mediante redirecciones o sobreescritura de contenido. Dado el alto CVSS (9.2) y la naturaleza crítica, se considera una amenaza inmediata para cualquier entorno que utilice VaahCMS y envíe correos OTP con JavaScript habilitado.
Estado de explotación conocida
No hay evidencia de explotación activa publicada por fuentes oficiales. La vulnerabilidad se ha detectado en entornos de pruebas y en la cadena de suministro de VaahCMS.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Verifica la versión instalada de VaahCMS; las versiones 2.0.0 a 2.3.4 están afectadas.
- Revisa el archivo de plantilla Blade que genera los correos OTP en busca de código JavaScript obfuscado.
- Comprueba si el correo OTP incluye una conexión WebSocket a un dominio externo no autorizado.
- Si no estás seguro, consulta con el equipo de desarrollo o soporte de VaahCMS.
Mitigación y actualización
- Aplica la actualización oficial de VaahCMS que corrige la plantilla Blade (versión 2.3.5 o superior).
- Si la actualización no es posible de inmediato, desactiva JavaScript en la capa de renderizado de correos OTP.
- Implementa filtros de contenido que bloqueen scripts externos y websockets no autorizados.
- Monitorea los logs de correo y de red en busca de conexiones WebSocket sospechosas.
Checklist para administradores
- ☐ Verificar versión de VaahCMS.
- ☐ Revisar plantilla Blade de OTP.
- ☐ Aplicar parche o actualizar a la versión más reciente.
- ☐ Desactivar JavaScript en correos OTP si es necesario.
- ☐ Configurar filtros de contenido y firewall para bloquear WebSocket externos.
- ☐ Monitorizar logs de correo y de red.
- ☐ Informar a los usuarios sobre la actualización y posibles riesgos.
Preguntas frecuentes
- ¿Qué es VaahCMS? VaahCMS es un sistema de gestión de contenido (CMS) basado en Laravel que permite crear y gestionar sitios web y aplicaciones.
- ¿Cómo afecta esta vulnerabilidad a los usuarios finales? Si el correo OTP se visualiza con JavaScript habilitado, el atacante puede robar credenciales y manipular la página.
- ¿La vulnerabilidad afecta a versiones anteriores a 2.0.0? No, las versiones anteriores no contienen el payload malicioso.
- ¿Puedo seguir usando VaahCMS sin actualizar? No se recomienda, ya que el riesgo es alto. Se debe aplicar la actualización o mitigar desactivando JavaScript.
- ¿Dónde encuentro la actualización? En el repositorio oficial de VaahCMS o en el portal de soporte de webreinvent.