Broadcom ha revelado tres vulnerabilidades de cross-site scripting (XSS) almacenado que afectan a VMware Cloud Foundation Operations y otros productos relacionados. Estas fallas (identificadas como CVE-2026-41722, CVE-2026-41723 y CVE-2026-41724) permitirían que atacantes autenticados inyecten scripts maliciosos para ejecutar acciones administrativas en el entorno. El problema fue abordado en el aviso de seguridad VMSA-2026-0004 el 8 de junio de 2026.

Broadcom ha revelado tres vulnerabilidades de cross-site scripting (XSS) persistente que afectan a VMware Cloud Foundation Operations y a varios productos relacionados, advirtiendo que atacantes autenticados podrían inyectar scripts maliciosos para realizar acciones administrativas dentro del entorno.

Identificadas como CVE-2026-41722, CVE-2026-41723 y CVE-2026-41724, los fallos fueron abordados en el aviso de seguridad VMSA-2026-0004, publicado el 8 de junio de 2026.

Cada vulnerabilidad tiene una puntuación base CVSSv3 de 8.0, situando los problemas en el rango de severidad "Importante". No existen soluciones alternativas, por lo que aplicar los parches es la única vía de remediación viable.

Vulnerabilidades de XSS Persistente de VMware

Según el aviso, VMware Cloud Foundation Operations contiene múltiples debilidades de cross-site scripting persistente introducidas a través de entradas controladas por el usuario que no fueron saneadas correctamente.

El XSS persistente es particularmente peligroso en comparación con las variantes reflejadas porque el payload malicioso se mantiene en el servidor y se ejecuta cada vez que una víctima carga el componente afectado, lo que permite ataques repetibles contra múltiples usuarios.

El aviso describe una ruta de ataque clara. Un actor malicioso que tenga privilegios para crear políticas, vistas o widgets de texto podría incrustar scripts manipulados en estos objetos.

Cuando se renderizan en la interfaz de gestión, esos scripts se ejecutan en el contexto de otros usuarios, potencialmente administradores con mayores privilegios, permitiendo que el atacante realice acciones administrativas en su nombre.

Aunque la explotación requiere acceso autenticado previo con derechos de creación de objetos, el potencial de escalada de privilegios dentro de una plataforma de operaciones que supervisa la infraestructura virtualizada hace que el riesgo sea significativo.

Las vulnerabilidades fueron reportadas privadamente a Broadcom por Alexis Bernazzani de Visa Inc. El aviso abarca un amplio conjunto de productos de virtualización de Broadcom, incluyendo VMware Aria Operations, VMware Cloud Foundation Operations, VMware Cloud Foundation, VMware vSphere Foundation y VMware Telco Cloud Platform.

Broadcom ha lanzado parches y actualizaciones que debes aplicar según la Matriz de Respuesta.

Si eres administrador, debes priorizar la aplicación de las versiones corregidas enumeradas a la brevedad, dada la ausencia de cualquier solución alternativa.

También se recomienda a las organizaciones revisar las asignaciones de roles y restringir los permisos para crear políticas, vistas y widgets de texto, limitando así el grupo de cuentas capaces de activar estas vulnerabilidades mientras se despliegan los parches.