Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración de una entrada XSS en un formulario empresarial de Repasat.

Qué se ha confirmado

INCIBE coordinó la publicación de 15 vulnerabilidades de severidad media en la aplicación de gestión empresarial Repasat, descubiertas por David Padilla Alvarado.

El aviso clasifica los fallos como cross-site scripting y señala que podrían inducir a un usuario a ejecutar código arbitrario en su navegador.

El vector CVSS indicado requiere privilegios bajos e interacción activa del usuario; el aviso les asigna 4,8 en CVSS v4.0 y CWE-79.

Entre los puntos señalados figuran el parámetro name en la actualización de tipos de adjunto, nomRuta en rutas y nomTamano en tamaños de empresa.

INCIBE indica que las vulnerabilidades se corrigieron en el parche de abril identificado como 20260402.

La tabla del aviso marca como no explotadas las entradas CVE-2026-59669 a CVE-2026-59683.

Análisis de Defensops

La combinación de rutas de administración y campos de datos empresariales hace que la exposición práctica dependa de qué funciones de Repasat estén accesibles y de qué usuarios puedan modificarlas. El vector publicado exige una cuenta con privilegios bajos y una acción de la víctima; no describe ejecución automática ni compromiso del servidor.

Un XSS en campos persistentes podría afectar a otros usuarios que consulten esos registros, pero el aviso no establece para cada entrada si la carga se almacena o se refleja. Conviene comprobar el comportamiento de cada flujo afectado antes de estimar el alcance de una instalación concreta.

El listado detallado facilita una revisión dirigida de las rutas afectadas. La prioridad operativa es verificar el parche y las funciones expuestas, sin interpretar la etiqueta 0day del portal como prueba de ataques observados.

Prioridades de revisión

Comprobar en el inventario qué instalaciones usan Repasat y registrar su nivel de parche; contrastarlo con el parche de abril 20260402 citado por INCIBE.

Programar la instalación del parche indicado y verificar después, mediante la información de versión o mantenimiento disponible, que cada instancia quedó actualizada.

Revisar qué perfiles pueden escribir en las rutas y campos enumerados por INCIBE y limitar temporalmente esos permisos donde no sean necesarios para la operación.

Consultar los registros disponibles de solicitudes a las rutas afectadas y documentar entradas anómalas o cambios de contenido para su análisis, sin tratarlos por sí solos como explotación confirmada.

Qué no se ha confirmado

El aviso no distingue qué entradas son XSS almacenado y cuáles son reflejado.

No aporta evidencia de explotación real ni describe víctimas afectadas.

No precisa qué versiones anteriores al parche 20260402 están afectadas.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-02.