CVE-2026-107303
JHipster es una plataforma de desarrollo para generar, desarrollar y desplegar rápidamente aplicaciones web modernas y arquitecturas de microservicios. En versiones anteriores a generator-jhipster 9.4.0 y react-jhipster 1.1.0, las aplicaciones generadas pueden persistir datos Blob controlados por el atacante y los valores ContentType asociados, devolverlos a través de los endpoints REST generados y pasarlos al asistente openFile generado en generators/client/generators/common/templates/src/main/webapp/app/shared/jhipster/data-utils.ts.ejs.
Leer descripción completaMostrar menos
El asistente utiliza el ContentType devuelto como tipo MIME del Blob del navegador y abre una URL de objeto, por lo que un usuario autenticado normal con acceso de escritura a una entidad que contenga Blob puede almacenar contenido HTML o SVG activo que puede ejecutarse en el origen de la aplicación cuando un usuario privilegiado lo abra. La explotabilidad depende de la política de seguridad de contenidos de la aplicación generada y del comportamiento de Blob del navegador de destino. Este problema está corregido en generator-jhipster 9.4.0 y react-jhipster 1.1.0.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Versión: 3.1
- Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N
- Puntuación base: 7.6
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días: 0.26%
- Percentil entre todas las CVEs puntuadas: 17
- Fecha de la puntuación: 13/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
🎯 Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1189Drive-by Compromiseinitial access85 % - Impacto principal
T1059.007JavaScriptexecution80 %
XSS almacenado (CWE-79): usuario autenticado inyecta HTML/SVG malicioso en blob; cuando admin abre el archivo, ejecuta JavaScript bajo el origen de la aplicación. AV:N/PR:L/UI:R confirma necesidad de interacción.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
🛡️ Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (2)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-79
Referencias
- https://github.com/jhipster/generator-jhipster/commit/efe95edd4dedc3379735094936439410a51ce3d9
- https://github.com/jhipster/generator-jhipster/pull/34807
- https://github.com/jhipster/generator-jhipster/releases/tag/v9.4.0
- https://github.com/jhipster/generator-jhipster/security/advisories/GHSA-9ffp-22j7-56r2
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-107303",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-107303",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "poc"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-09T11:40:53.141795Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"cvssData": {
"scope": "CHANGED",
"version": "3.1",
"baseScore": 7.6,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N",
"integrityImpact": "LOW",
"userInteraction": "REQUIRED",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "LOW",
"confidentialityImpact": "HIGH"
},
"impactScore": 4.7,
"exploitabilityScore": 2.3
}
]
},
"affected": [
{
"source": "security-advisories@github.com",
"affectedData": [
{
"vendor": "jhipster",
"product": "generator-jhipster",
"versions": [
{
"status": "affected",
"version": "< 9.4.0"
}
]
},
{
"vendor": "jhipster",
"product": "react-jhipster",
"versions": [
{
"status": "affected",
"version": "< 1.1.0"
}
]
}
]
}
],
"published": "2026-10-08T18:17:19.277",
"references": [
{
"url": "https://github.com/jhipster/generator-jhipster/commit/efe95edd4dedc3379735094936439410a51ce3d9",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/jhipster/generator-jhipster/pull/34807",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/jhipster/generator-jhipster/releases/tag/v9.4.0",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/jhipster/generator-jhipster/security/advisories/GHSA-9ffp-22j7-56r2",
"source": "security-advisories@github.com"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"description": [
{
"lang": "en",
"value": "CWE-79"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "JHipster is a development platform to quickly generate, develop, and deploy modern web applications and microservice architectures. Prior to generator-jhipster 9.4.0 and react-jhipster 1.1.0, generated applications can persist attacker-controlled Blob data and companion ContentType values, return them through generated REST endpoints, and pass them to the generated openFile helper in generators/client/generators/common/templates/src/main/webapp/app/shared/jhipster/data-utils.ts.ejs. The helper uses the returned ContentType as the browser Blob MIME type and opens an object URL, so a normal authenticated user with write access to a Blob-bearing entity can store active HTML or SVG content that may execute under the application origin when a privileged user opens it. Exploitability depends on the generated application's content security policy and target-browser Blob behavior. This issue is fixed in generator-jhipster 9.4.0 and react-jhipster 1.1.0."
}
],
"lastModified": "2026-10-09T12:17:07.987",
"sourceIdentifier": "security-advisories@github.com"
}