Nuevo CVE asignado: bypass de sanitización CSS mediante CSS Hex Escapes- CVE-2026-76203. La vulnerabilidad afecta al sistema de sanitización CSS utilizado en los temas personalizados de los informes. El fallo corresponde a una vulnerabilidad Incorrect Behavior Order: Validate Before Canonicalize (CWE-180). El problema se encontraba en el proceso de validación del CSS, donde era posible utilizar CSS Hex Escapes para reconstruir dinámicamente la función `url()` y evadir la blocklist implementada por el sanitizador. Mediante esta técnica, un usuario autenticado podía introducir CSS especialmente manipulado capaz de provocar peticiones HTTP salientes desde el navegador de otros usuarios cuando estos visualizaban el contenido afectado. Como consecuencia, un atacante podía forzar conexiones hacia infraestructura bajo su control y obtener información como la dirección IP y el User-Agent de la víctima, además de aprovechar este comportamiento para realizar solicitudes externas no previstas por la aplicación. La vulnerabilidad ha sido clasificada como CWE-180 y cuenta con una puntuación CVSS 4.0 de 5.1 (MEDIUM). #CVE #CVE202676203 #Cybersecurity #Ciberseguridad #VulnerabilityResearch #WebSecurity #ApplicationSecurity #SecurityResearch #EthicalHacking #OpenSource #CSS
Post summary
A new CVE‑2026‑76203 is announced, describing a CSS sanitization bypass using hex escapes that can trigger unexpected outbound requests from victim browsers, classified as CWE‑180 with a CVSS score of 5.1.