Cross-Site Scripting en la aplicación web de YouMind

INCIBE-CERT avisos · 13 oct, 09:39

INCIBE ha coordinado la publicación de una vulnerabilidad XSS de severidad media (CVSS 5.1) en la aplicación web de YouMind, descubierta por Miguel Jiménez Cámara. La falta de sanitización en el endpoint de actualización de avatar permite inyectar código JavaScript embebido en ficheros SVG, que se ejecuta en el contexto del dominio del CDN. No hay solución reportada por el momento.