CVE-2026-14933
Cross-site scripting en la función de co-browsing integrada de Unblu inc. Unblu Spark desde la 7.0 hasta la 7.57.7 y desde la 8.0 hasta la 8.39.2, en despliegues locales (on-premises) y en la nube, permite a un atacante remoto no autenticado con el rol de visitante ejecutar JavaScript arbitrario en el navegador de un agente que participa en la sesión de co-browsing del atacante, mediante contenido de la página co-navegada que el navegador del agente renderiza como HTML.
El JavaScript se ejecuta en el contexto y bajo la identidad de la sesión del agente en el Agent Desk o en el Single Conversation Desk.
Leer descripción completaMostrar menos
La explotación requiere que un agente se una a una sesión de co-browsing integrada con el atacante. La co-navegación desde dispositivos móviles (mobile co-apping) no se ve afectada.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 8.6
- Versión
- 4.0
- Vector
- CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Probabilidad de explotación (EPSS)
FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1189Drive-by Compromiseinitial access95 % - Impacto principal
T1059.007JavaScriptexecution90 %
Cross-site scripting (CWE-79) en la función de co-browsing: un visitante sin autenticar ejecuta JavaScript arbitrario en el navegador de un agente, con su identidad de sesión.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-79
Referencias
Mostrar las 1 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-14933",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-14933",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "total"
}
],
"version": "2.0.3",
"timestamp": "2026-10-20T15:28:00.378931Z"
}
}
],
"cvssMetricV40": [
{
"type": "Secondary",
"source": "vulnerability@ncsc.ch",
"cvssData": {
"Safety": "NOT_DEFINED",
"version": "4.0",
"Recovery": "NOT_DEFINED",
"baseScore": 8.6,
"Automatable": "NOT_DEFINED",
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"valueDensity": "NOT_DEFINED",
"vectorString": "CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
"exploitMaturity": "NOT_DEFINED",
"providerUrgency": "NOT_DEFINED",
"userInteraction": "PASSIVE",
"attackComplexity": "LOW",
"attackRequirements": "NONE",
"privilegesRequired": "NONE",
"subIntegrityImpact": "NONE",
"vulnIntegrityImpact": "HIGH",
"integrityRequirement": "NOT_DEFINED",
"modifiedAttackVector": "NOT_DEFINED",
"subAvailabilityImpact": "NONE",
"vulnAvailabilityImpact": "NONE",
"availabilityRequirement": "NOT_DEFINED",
"modifiedUserInteraction": "NOT_DEFINED",
"modifiedAttackComplexity": "NOT_DEFINED",
"subConfidentialityImpact": "NONE",
"vulnConfidentialityImpact": "HIGH",
"confidentialityRequirement": "NOT_DEFINED",
"modifiedAttackRequirements": "NOT_DEFINED",
"modifiedPrivilegesRequired": "NOT_DEFINED",
"modifiedSubIntegrityImpact": "NOT_DEFINED",
"modifiedVulnIntegrityImpact": "NOT_DEFINED",
"vulnerabilityResponseEffort": "NOT_DEFINED",
"modifiedSubAvailabilityImpact": "NOT_DEFINED",
"modifiedVulnAvailabilityImpact": "NOT_DEFINED",
"modifiedSubConfidentialityImpact": "NOT_DEFINED",
"modifiedVulnConfidentialityImpact": "NOT_DEFINED"
}
}
]
},
"affected": [
{
"source": "vulnerability@ncsc.ch",
"affectedData": [
{
"vendor": "Unblu inc.",
"product": "Unblu Spark",
"versions": [
{
"status": "unaffected",
"version": "8.35.2-hotfix.0",
"lessThan": "8.35.2",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "8.37.2-hotfix.2",
"lessThan": "8.37.2",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "8.38.2-hotfix.0",
"lessThan": "8.38.2",
"versionType": "semver"
},
{
"status": "affected",
"version": "7.0",
"versionType": "semver",
"lessThanOrEqual": "7.57.7"
},
{
"status": "affected",
"version": "8.0",
"versionType": "semver",
"lessThanOrEqual": "8.39.2"
},
{
"status": "unaffected",
"version": "8.39.3"
}
],
"platforms": [
"On-premises",
"Cloud"
],
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-20T12:17:30.057",
"references": [
{
"url": "https://docs.unblu.com/latest/security-bulletins/#UBL-2026-004",
"source": "vulnerability@ncsc.ch"
}
],
"vulnStatus": "Received",
"weaknesses": [
{
"type": "Secondary",
"source": "vulnerability@ncsc.ch",
"description": [
{
"lang": "en",
"value": "CWE-79"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Cross-site scripting in the embedded co-browsing feature in Unblu inc. Unblu Spark 7.0 through 7.57.7 and 8.0 through 8.39.2, on on-premises and cloud deployments, allows an unauthenticated remote attacker in the visitor role to execute arbitrary JavaScript in the browser of an agent taking part in the attacker's co-browsing session, via content of the co-browsed page that the agent's browser renders as HTML.\n\n\n\nThe JavaScript runs in the context and under the identity of the agent's session in the Agent Desk or the Single Conversation Desk.\n\n\n\nExploitation requires an agent to join an embedded co-browsing session with the attacker. Mobile co-apping isn't affected."
}
],
"lastModified": "2026-10-20T16:17:13.877",
"sourceIdentifier": "vulnerability@ncsc.ch"
}