Qué ha confirmado INCIBE

El aviso del 25 de septiembre reúne siete vulnerabilidades XSS almacenadas en la API y el panel de StockAgile. CVE-2026-6082 a CVE-2026-6088 tienen severidad media, CVSS 4.0 de 5,1. Un atacante previamente autenticado podría introducir contenido JavaScript persistente que se ejecutase al visualizarlo en el panel.

Los campos afectados corresponden a la configuración de métodos de pago, tarifas, variantes, tipos de números de serie, temporadas, categorías y marcas.

En el estado descrito por el aviso no hay una solución comunicada ni explotación confirmada. La revisión de la fuente realizada el 27 de septiembre sigue mostrando ese estado; no anunciamos una versión corregida sin una referencia del proveedor.

Qué diferencia este fallo de un ataque al servidor

La superficie descrita es contenido almacenado y mostrado en la interfaz web. No debe presentarse automáticamente como ejecución de comandos en la infraestructura ni como una filtración demostrada de datos.

Análisis de Defensops: controles provisionales y trazabilidad

Proponemos una revisión proporcionada con el responsable del servicio. Conviene identificar quién puede modificar las configuraciones afectadas, qué cuentas ya no son necesarias y qué cambios recientes no tienen una explicación operativa. Debe conservarse el contexto de los datos antes de modificarlos para facilitar una posible investigación.

Mientras se espera una corrección validada, recomendamos:

  1. Solicitar al proveedor el estado del parche, su alcance y cómo comprobar su aplicación.
  2. Revisar permisos de modificación y separar funciones que no requieren acceso administrativo.
  3. Contrastar cambios de configuración con usuarios, fechas y tareas autorizadas.
  4. Documentar cualquier restricción temporal, su efecto sobre el negocio y su fecha de revisión.
  5. Definir quién validará el cierre cuando exista una solución.

La limpieza de un campo sospechoso puede retirar una carga concreta, pero no corrige por sí sola el tratamiento inseguro de entradas. Tampoco recomendamos bloquear toda la aplicación o borrar masivamente configuraciones sin evaluar su impacto sobre ventas, inventario y operaciones.

Si un usuario observa contenido anómalo, es preferible conservar evidencia y evitar reproducirlo repetidamente en cuentas privilegiadas. La revisión debe distinguir datos legítimos, errores de formato y contenido deliberadamente malicioso.

La severidad media no significa que el riesgo pueda ignorarse; significa que debe explicarse con sus condiciones reales. Tampoco justifica afirmar que se ha robado información sin pruebas.

Fuente y actualización

Aviso de INCIBE del 25 de septiembre de 2026. Ampliación editorial: 27 de septiembre. Las medidas provisionales propuestas son análisis propio de Defensops.