Vulnerabilidad XSS de severidad alta en Siemens Element Maps permite ejecución de script en el navegador (CVE-2026-66155)

Siemens e INCIBE-CERT han emitido sendos avisos de seguridad alertando de una vulnerabilidad de Cross-Site Scripting (XSS) de severidad alta (CVSS v3.1 de 7.6 / CVSS v4.0 de 7.0) localizada en el paquete @siemens/maps-ng (Element Maps), librería empleada para renderizar mapas interactivos en interfaces web corporativas e industriales. El fallo, registrado como CVE-2026-66155, permite a un actor de amenaza inducir la ejecución de código JavaScript arbitrario en la sesión del navegador de un usuario legítimo mediante la interacción con marcadores manipulados, abriendo la puerta al secuestro de sesiones y la exfiltración de tokens. 

Desarrollo y análisis técnico

El fallo se categoriza bajo la debilidad CWE-79 (Improper Neutralization of Input During Web Page Generation) y radica de forma específica en el componente si-map.  

• Mecánica del fallo: El componente no realiza un saneamiento ni neutralización adecuada de los datos controlados por el usuario dentro de la propiedad points, parámetro encargado de renderizar el texto o etiqueta emergente (tooltip) de las chinchetas o pines de ubicación en el mapa.  

• Vector de ataque: Un atacante con privilegios bajos (o mediante técnicas de ingeniería social como phishing) puede generar una URL maliciosa que inyecte un payload script en dicha propiedad. Cuando la víctima carga el enlace en su navegador y desplaza el cursor sobre el marcador del mapa (evento hover/mouseover), el navegador interpreta y ejecuta el script malicioso en el contexto del origen de la aplicación.  

• Métricas CVSS:

  • CVSS v3.1: 7.6 (AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N)

  • CVSS v4.0: 7.0 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N)  

• Investigador acreditado: La vulnerabilidad fue reportada de forma coordinada a Siemens por Fabio Zuber.  

Alcance e impacto verificado

El riesgo operativo depende del rol que desempeñe la aplicación que integra Element Maps; al tratarse de entornos de visualización gráfica en sistemas vinculados a operaciones o gestión de infraestructuras, la ejecución de script en contexto autenticado permite acceder al almacenamiento local (localStorage, sessionStorage), robar cookies de sesión no protegidas con flag HttpOnly o realizar peticiones no autorizadas en nombre del operador.

• Versiones afectadas:  

  • Element maps-ng V47: todas las versiones inferiores a V47.12.3.  

  • Element maps-ng V48: todas las versiones inferiores a V48.11.3.  

  • Element maps-ng V49: todas las versiones inferiores a V49.16.1.  

• Estado de explotación en el entorno real: En el momento de la publicación del aviso conjunto, ni Siemens ni INCIBE-CERT constatan intentos de explotación activa o pruebas de concepto públicas dirigidas a este vector.

Mitigación y recomendaciones  

La remediación principal consiste en la actualización de la dependencia @siemens/maps-ng en el árbol de dependencias de las aplicaciones afectadas a las versiones parcheadas:  

• Actualizar la rama V47 a V47.12.3 o posterior.  

• Actualizar la rama V48 a V48.11.3 o posterior.  

• Actualizar la rama V49 a V49.16.1 o posterior.  

Para entornos en los que el despliegue inmediato del parche no sea viable, Siemens e INCIBE recomiendan aplicar medidas de defensa en profundidad:

• Política de Seguridad de Contenido (CSP): Desplegar directivas CSP estrictas que restrinjan la ejecución de scripts en línea (unsafe-inline) y limiten el origen de scripts permitidos.

• Trusted Types: Habilitar y forzar la API de Trusted Types en el navegador para bloquear inyecciones directas en el DOM.

• Buenas prácticas Angular: Seguir las guías de saneamiento de plantillas y contextos de seguridad del framework si la aplicación corre sobre Angular.

• Monitorización: Revisar logs de acceso HTTP y balanceadores para identificar URLs con parámetros anómalos o cadenas codificadas dirigidas a componentes cartográficos.