CVE-2026-41468criticalCWE-1104

CVE-2026-41468: fallo crítico en Beghelli SicuroWeb (Sicuro24)

Beghelli Sicuro24 SicuroWeb AngularJS Sandbox Escape via Template Injection

Publicada el

Seguir esta CVE+ Monitorear SicuroWeb

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.3epss 0.4%
En resumen

Beghelli Sicuro24 SicuroWeb utiliza una versión obsoleta de AngularJS que los atacantes pueden eludir para ejecutar código malicioso en el navegador del usuario. Esto permite que los criminales roben sesiones, manipulen la página o tomen el control total del navegador sin que el usuario lo note.

Detalle técnico

La aplicación incorpora AngularJS 1.5.2, que contiene primitivos conocidos de escape de sandbox explotables mediante template injection. Los atacantes adyacentes a la red pueden entregar el payload de inyección a través de ataques MITM en conexiones HTTP en texto plano, logrando ejecución arbitraria de JavaScript en sesiones de operador sin interacción del usuario, lo que lleva al secuestro de sesión y compromiso persistente.

Resumen generado y traducido por IA a partir de la descripción oficial.
Beghelli Sicuro24 SicuroWeb embeds AngularJS 1.5.2, an end-of-life component containing known sandbox escape primitives. When combined with template injection present in the same application, these primitives allow attackers to escape the AngularJS sandbox and achieve arbitrary JavaScript execution in operator browser sessions, enabling session hijacking, DOM manipulation, and persistent browser compromise. Network-adjacent attackers can deliver the complete injection and escape chain via MITM in plaintext HTTP deployments without active user interaction.
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L
Productos afectados
Beghelli · SicuroWeb (Sicuro24)
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Beghelli SicuroWeb (Sicuro24)

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-22191MEDIUMBeghelli Sicuro24 SicuroWeb AngularJS Template InjectionEPSS 0.4%CVE-2026-41469MEDIUMBeghelli Sicuro24 SicuroWeb Missing Content Security PolicyEPSS 0.2%