CVE-2026-23997: FacturaScripts: XSS armazenado no campo Observações (visualização de histórico)
A CVE-2026-23997 é uma vulnerabilidade de XSS armazenado no FacturaScripts, nas versões 2025.71 e anteriores, em que dados do campo Observações são exibidos sem codificação adequada na visualização de histórico. A NVD atribui pontuação 9 (CVSS 3.1, crítica) e o GitHub pontuação 8. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.
Visão geral
A CVE-2026-23997 é uma falha de XSS armazenado no FacturaScripts, um software de ERP e contabilidade de código aberto. Segundo o registro, o conteúdo do campo Observações é exibido na visualização de Histórico sem a codificação adequada de entidades HTML, de modo que dados armazenados podem ser interpretados como conteúdo ativo no navegador.
Impacto
- Segundo o registro, JavaScript arbitrário pode ser executado no navegador de administradores que visualizam o histórico.
- A NVD atribui pontuação 9 sob CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H, que indica impacto alto em confidencialidade, integridade e disponibilidade, com escopo alterado.
- O GitHub atribui pontuação 8 à mesma falha, também sob CVSS 3.1.
- Por ser armazenada, a exposição persiste enquanto o conteúdo malicioso permanecer nos dados e for visualizado por usuários privilegiados.
Produtos e versões afetadas
- Produto listado como FacturaScripts Facturascripts, com faixa afetada informada como anterior à 2025.71.
- A descrição indica que as versões 2025.71 e anteriores são afetadas. Essa diferença entre a descrição e a faixa afetada não é esclarecida pelos dados disponíveis.
- O registro não informa versão corrigida.
Status de exploração
- O registro não indica inclusão desta CVE no catálogo KEV da CISA, por isso não se descreve exploração ativa nas fontes consultadas.
- Não há exploração confirmada no ambiente real nas fontes consultadas.
- A referência do GitHub aparece com a etiqueta Exploit no registro. Essa etiqueta não comprova que houve exploração.
Remediação e mitigação
- O registro não informa versão corrigida. Consulte o aviso de segurança no GitHub para orientações do fornecedor e atualize para uma versão que o fornecedor documente como corrigida.
- Até a correção, restrinja o acesso à visualização de Histórico e ao campo Observações a usuários de confiança, e revise quem possui privilégios de administrador.
- Revise os registros existentes do campo Observações em busca de conteúdo HTML ou semelhante a script inesperado e remova entradas suspeitas após avaliação.
- Aplique uma Content Security Policy restritiva, quando suportada, para reduzir o impacto de scripts injetados.
- Oriente administradores a encerrar sessões em equipamentos compartilhados ou não confiáveis.
Orientações de detecção
- Revise registros da aplicação em busca de entradas de Observações com tags HTML ou marcação semelhante a script não inseridas por pessoal autorizado.
- Monitore atividades de administradores em busca de alterações inesperadas em registros ou configurações após a visualização do histórico.
- Mantenha logs do servidor web e da aplicação disponíveis para investigação de entradas suspeitas.
Limitações das informações disponíveis
- O registro não informa versão corrigida.
- A descrição e a faixa afetada divergem quanto ao limite superior (2025.71 e anteriores, contra anterior à 2025.71).
- Não há pontuação EPSS nem dados SSVC no registro.
- O registro não traz título, por isso o título desta análise foi elaborado a partir da descrição.
- As fontes consultadas são a entrada da NVD e o aviso do GitHub, que contêm detalhes técnicos limitados.
Perguntas frequentes
Quais versões do FacturaScripts são afetadas pela CVE-2026-23997?
A descrição indica que as versões 2025.71 e anteriores são afetadas, enquanto a faixa afetada no registro é anterior à 2025.71. Os dados disponíveis não resolvem essa diferença, por isso consulte o aviso do fornecedor antes de concluir.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não inclui a CVE-2026-23997 no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. A referência do GitHub tem a etiqueta Exploit, mas essa etiqueta sozinha não comprova uso no ambiente real.
O que os administradores devem fazer agora?
O registro não informa versão corrigida. Restrinja o acesso à visualização de Histórico, revise entradas do campo Observações em busca de marcação suspeita e atualize para uma versão que o fornecedor documente como corrigida, assim que ela for confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.