Actualizaciones de seguridad abordan vulnerabilidades críticas de cross-site scripting (XSS) en Foxit PDF Editor Cloud que podrían permitir a los atacantes ejecutar código JavaScript arbitrario en los navegadores de los usuarios. Las vulnerabilidades fueron descubiertas en la lista de Archivos Adjuntos y el panel de Capas de la aplicación, donde la validación insuficiente de entradas y la codificación incorrecta de salidas crean vías para la ejecución de código malicioso. 

Se han lanzado actualizaciones de seguridad que abordan vulnerabilidades críticas de scripting entre sitios (XSS) en Foxit PDF Editor Cloud, las cuales podrían permitir a los atacantes ejecutar código JavaScript arbitrario en los navegadores de los usuarios.

Las vulnerabilidades fueron descubiertas en la lista de Adjuntos de archivos y el panel de Capas de la aplicación, donde la validación insuficiente de entradas y la codificación incorrecta de salidas crean vías para la ejecución de código malicioso.

Se han identificado dos vulnerabilidades relacionadas de scripting entre sitios, asignadas como CVE-2026-1591 y CVE-2026-1592.

Ambas vulnerabilidades provienen de la misma causa raíz: la sanitización inadecuada de entradas de usuario en los nombres de capas y los nombres de archivos adjuntos.

Cuando los usuarios interactúan con cargas útiles manipuladas a través de la lista de Adjuntos de archivos o el panel de Capas.

ID de CVE	Tipo de Vulnerabilidad	Puntuación CVSS	Gravedad	Impacto
CVE-2026-1591	Cross-site Scripting (CWE-79)	6.3	Moderada	Ejecución de JavaScript Arbitrario
CVE-2026-1592	Cross-site Scripting (CWE-79)	6.3	Moderada	Ejecución de JavaScript Arbitrario

La aplicación no codifica correctamente las entradas no confiables antes de integrarlas en la estructura HTML, lo que permite la ejecución de JavaScript arbitrario dentro del contexto del navegador del usuario.

Las vulnerabilidades están clasificadas bajo CWE-79 (Cross-site Scripting) y tienen una puntuación CVSS 3.0 de 6.3, lo que indica una gravedad moderada.

El vector de ataque es basado en red (AV:N) con baja complejidad de ataque (AC:L), requiere privilegios bajos (PR:L) e interacción del usuario (UI:R).

La evaluación de impacto revela un alto riesgo de confidencialidad, con impacto limitado en la integridad y sin impacto en la disponibilidad.

Un atacante que explote estas vulnerabilidades podría acceder a información sensible visible para el usuario autenticado, incluyendo contenidos de documentos y datos de sesión.

El requisito de interacción del usuario y acceso autenticado limita en cierta medida la superficie de ataque, ya que los atacantes deben engañar primero a los usuarios para que abran documentos maliciosos o los convenzan de interactuar con archivos especialmente diseñados.

Sin embargo, la calificación de gravedad moderada refleja la amenaza real que representan estas fallas XSS en una aplicación de edición de PDF ampliamente utilizada.

Solución y Respuesta

Foxit ha lanzado parches de seguridad que abordan ambas vulnerabilidades como parte de la actualización del 3 de febrero de 2026 para Foxit PDF Editor Cloud.

La compañía enfatiza que no se requiere acción por parte del usuario para las versiones en la nube, ya que las actualizaciones se implementan automáticamente.

Los usuarios de versiones de escritorio deben verificar las actualizaciones disponibles a través del mecanismo de actualización de la aplicación.

Las organizaciones que utilizan Foxit PDF Editor deben asegurarse de que sus instalaciones estén ejecutando la última versión parcheada.

El equipo de respuesta de seguridad recomienda revisar las prácticas de manejo de archivos y limitar el acceso de los usuarios a las funciones de edición de PDF cuando sea apropiado dentro de las políticas de seguridad de tu organización.

Para consultas de seguridad, el Equipo de Respuesta de Seguridad de Foxit puede ser contactado en security-ml@foxit.com. Información adicional sobre avisos de seguridad y reporte de vulnerabilidades está disponible en la página oficial de seguridad de Foxit.

Fuentes:
https://cybersecuritynews.com/foxit-pdf-editor-vulnerabilities/