CVE-2026-61728: XSS stored in SOCFortress CoPilot

Stored XSS in SOCFortress CoPilot consente furto token e account takeover persistente. CVSS 9,9 critical.

CVE-2026-61728 è una vulnerabilità di Cross-Site Scripting (XSS) stored in SOCFortress CoPilot, piattaforma centrale di security operations. La falla esiste nell'endpoint POST /api/incidents/db_operations/alert/comment dove i commenti inseriti dagli utenti non vengono sanitizzati prima di essere memorizzati nel database. Quando un altro utente (analyst, administrator) visualizza l'alert contenente il codice malevolo, lo script eseguito nel contesto dell'applicazione può intercettare i token di autenticazione memorizzati in storage JavaScript e rubare sia l'access token che il refresh token.

Il CVSS 9,9 riflette impatto critico: token rubati via XSS consentono impersonazione persistente tramite /auth/refresh e accesso cross-tenant. Se la vittima è analyst o administrator, il danno si estende a modifica di incident e subversione della risposta alle minacce. Pubblicato su NVD il 30 ottobre 2026; exploit pubblico non confermato, ma il rischio è concreto per deployment non aggiornati.

La priorità immediata è aggiornare alla versione 0.1.76 o successiva; versioni precedenti rimangono vulnerabili a XSS via comment e SOC fields. Dopo l'aggiornamento, esaminare alert e case modificati nelle ultime settimane; se analyst o admin hanno visualizzato content sospetto, considerare il reset dei token di autenticazione come mitigazione precauzionale contro account takeover persistente.

In sintesi

Cosa: XSS stored in SOCFortress CoPilot tramite comment field su alert e SOC fields (case, asset, health-check). Quando un utente visualizza l'alert avvelenato, lo script eseguito può rubare token di autenticazione (access e refresh) e impersonare l'utente con account takeover persistente.
Gravità: CVSS 9,9 (critical). Se colpisce analyst o administrator, permette accesso cross-tenant, modifica o cancellazione di incident e subversione della risposta alle minacce.
Versioni interessate: SOCFortress CoPilot < 0.1.76 (health-check fixed in 0.1.70, comment e SOC fields fixed in 0.1.76)
Correzione: Upgrade alla versione 0.1.76 o successiva
Stato: Pubblicato su NVD il 30 ottobre 2026. Exploit pubblico non confermato. Patch disponibile.
Azione: Verificare versione installata. Aggiornare immediatamente alla 0.1.76 o successiva. Audit di alert e case modificati nelle ultime settimane.

Fonti: NVD, CVE-2026-61728

← Tutti gli articoli