Vulnerabilidad de Cross-Site Scripting Almacenado en Amidaware Tactical RMM ( CVE-2026-121578)

Amidaware Tactical RMM en sus versiones anteriores o iguales a la 1.6.2 contiene una vulnerabilidad de Cross-Site Scripting Almacenado (Stored XSS o CWE-79), provocada por una validación de entrada o una codificación de salida deficiente en diversos campos del sistema. Esto permite que código HTML o JavaScript malicioso sea almacenado directamente en la base de datos de la plataforma.

Vector de Ataque:

Origen / Complejidad: red (Remoto) | complejidad de ataque Baja.

Requisitos: no requiere autenticación previa (PR:None), pero sí interacción del usuario (UI:Required) para activarse en el navegador de la víctima.

Mecanismo: un atacante puede introducir cargas útiles de JavaScript o HTML en los campos vulnerables que se guardan en la base de datos. Cuando otros usuarios visualizan el contenido que contiene los objetos infectados dentro de la interfaz web, el script se ejecuta automáticamente en el contexto de su sesión de navegador.

Impacto Estimado:

Confidencialidad: baja / alta — exposición de información de sesión o acceso parcial a recursos restringidos.

Integridad: baja — posibilidad de alteración limitada de datos visibles en la interfaz.

Disponibilidad: ninguna — sin impacto directo sobre la disponibilidad del servicio.

Solución: actualizar Amidaware Tactical RMM a la versión más reciente superior a la 1.6.2 tan pronto como el fabricante provea la corrección oficial.

Medidas de Mitigación / Contención Temporal: implementar un filtrado riguroso y validación estricta de las entradas de usuario en los formularios y campos editables de la plataforma; restringir el acceso a la interfaz de Tactical RMM únicamente a redes y perfiles estrictamente confiables mientras se aplica la actualización.

https://nvd.nist.gov/vuln/detail/cve-2026-121578