Cross-Site Scripting en la aplicación web de YouMind Mar, 13/10/2026 - 09:39
Aviso
Recursos Afectados
Aplicación web de YouMind.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la aplicación web de YouMind, un espacio de trabajo y estudio de creación impulsado por inteligencia artificial. La vulnerabilidad ha sido descubierta por Miguel Jiménez Cámara.A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:CVE-2026-96535: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
Identificador
INCIBE-2026-733
Solución
No hay solución reportada por el momento.
Detalle
CVE-2026-96535: Cross-Site Scripting en el portal de YouMind, específicamente en el endpoint de actualización del avatar, al establecer una foto de perfil mediante una URL arbitraria. Esto ocurre debido a una falta de sanitización y validación en el contenido SVG al fijar como avatar una imagen SVG que contiene código JavaScript embebido. El fichero es servido por el CDN con Content-Type: image/svg+xml y al navegar directamente en esa URL el script se ejecuta en el contexto del dominio del CDN.
3 - Media
Listado de referencias
YouMind
Etiquetas
0day
CNA
Vulnerabilidad
XSS
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-96535
Media
No
YOUMIND