Server-Side Request Forgery en la exportación a PDF de Wegow Vie, 16/10/2026 - 09:25
Aviso
Recursos Afectados
Funcionalidad de exportación a PDF de gráficos de ventas de entradas del portal backoffice.wegow.com.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de Wegow de Wegow Technologies. La vulnerabilidad ha sido descubierta por Cosme Vázquez Tomé.A esta vulnerabilidad se le ha asignado el siguiente identificador CVE. La puntuación base y el vector CVSS v4.0 están pendientes de validación:CVE-2026-101300: CVSS V4: 0 7.1 | CVSS:4.0 AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:L/SI:L/SA:N | CWE-918
Identificador
INCIBE-2026-755
Solución
No hay solución reportada por el momento.
Detalle
CVE-2026-101300: Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de gráficos de ventas de entradas de Wegow. Según el informe, un usuario autenticado con una cuenta de promotor puede manipular el parámetro <svg> de la solicitud POST generada al seleccionar Descargar PDF. El contenido se procesa en el servicio export.highcharts.com, que realiza peticiones HTTP a recursos externos controlados por el atacante e incorpora sus respuestas al PDF generado. El comportamiento descrito permite utilizar el servicio de exportación como intermediario para dichas peticiones.
4 - Alta
Listado de referencias
Wegow - Entradas de conciertos y festivales
CWE-918: Server-Side Request Forgery (SSRF)
Etiquetas
0day
CNA
Software
SSRF
+
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-101300
Alta
No
Wegow