CVE-2026-102989: XSS crítico sin autenticación en TanStack Start

CVE-2026-102989: XSS crítico sin autenticación en TanStack Start

En corto

Se ha publicado una vulnerabilidad crítica, identificada como CVE-2026-102989, con una puntuación CVSS de 9.3 sobre 10 [1], que afecta a aplicaciones web construidas con TanStack Start. El fallo permite que un atacante, sin necesidad de credenciales ni cuenta de usuario, consiga que la aplicación devuelva una página con contenido manipulado desde el propio dominio de la empresa, lo que puede derivar en robo de datos o acciones no autorizadas en nombre de la víctima. Si tu equipo de desarrollo utiliza este framework, la recomendación inmediata es actualizar a las versiones corregidas y revisar qué aplicaciones en producción lo usan.

Qué es y por qué importa

TanStack Start es un framework para construir aplicaciones web que combinan lógica de cliente y de servidor, disponible en variantes para React, Solid y Vue. La vulnerabilidad reside en cómo las "funciones de servidor" (server functions) procesan las peticiones: un atacante puede incluir en la petición campos que no deberían ser manipulables desde fuera, de forma que el estado interno de la aplicación termine aceptando un objeto con forma de respuesta HTTP como si fuera una respuesta legítima [1]. El resultado práctico es que una URL especialmente construida puede hacer que la aplicación devuelva HTML controlado por el atacante, incluyendo código JavaScript, servido desde el dominio real de la empresa.

Según el análisis del equipo de OCIRIA, se trata de una inyección XSS (cross-site scripting) reflejado que no requiere autenticación previa por parte del atacante, lo que la hace especialmente delicada: basta con que un usuario legítimo haga clic en un enlace manipulado para que el script se ejecute en su navegador, con acceso a datos del mismo origen y capacidad de realizar peticiones con la identidad de esa persona.

La vulnerabilidad fue publicada el 13 de octubre de 2026 [1] y está calificada como "crítica" según los criterios de NVD [1]. A fecha de este post, no figura en el catálogo de vulnerabilidades explotadas activamente (KEV) de CISA [2], lo que indica que no hay constancia pública de explotación masiva confirmada, aunque esto puede cambiar y no debe interpretarse como ausencia de riesgo.

A quién afecta

El problema afecta a los siguientes paquetes del ecosistema TanStack Start, en los rangos de versiones indicados antes de su corrección [3]:

• @tanstack/start-server-core: desde 1.143.12 hasta 1.169.39
• @tanstack/react-start: hasta 1.168.60
• @tanstack/solid-start: hasta 1.168.57
• @tanstack/vue-start: hasta 1.168.56

Cualquier organización que tenga aplicaciones web propias o encargadas a terceros construidas sobre alguno de estos paquetes está potencialmente expuesta, independientemente del tamaño de la empresa o del sector. No se trata de un producto comercial concreto de un proveedor, sino de una pieza de infraestructura de desarrollo que puede estar integrada en portales de clientes, intranets, paneles de administración o aplicaciones móviles con backend web.

Cómo saber si eres vulnerable

El primer paso es preguntar a quien desarrolla o mantiene vuestras aplicaciones web si utilizan TanStack Start y, si es así, qué versión de los paquetes afectados tienen instalada. Revisar el archivo de dependencias (package.json o el lockfile correspondiente) suele ser suficiente para identificar la versión exacta.

También es recomendable comprobar qué aplicaciones y subdominios de la empresa están expuestos públicamente en internet, ya que no siempre todo el inventario de activos digitales está documentado al día, especialmente en organizaciones con varios equipos de desarrollo o proveedores externos. Conocer la superficie expuesta real es el punto de partida para priorizar qué revisar primero.

Cómo protegerte

1. Identifica si alguna aplicación de la empresa usa TanStack Start y en qué versión.

2. Actualiza a las versiones corregidas cuanto antes: @tanstack/start-server-core 1.169.39, @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57 o @tanstack/vue-start 1.168.56, según el paquete que uses [3].

3. Si no puedes actualizar de inmediato, pide a tu equipo técnico o proveedor que revise la lógica de validación de las funciones de servidor como medida temporal.

4. Audita las aplicaciones en producción tras la actualización para confirmar que el comportamiento es el esperado.

5. Revisa periódicamente qué tecnologías y versiones usan vuestras aplicaciones expuestas, no solo ante un aviso puntual.

FAQ

¿Necesito tener una cuenta o credenciales comprometidas para ser víctima de este ataque?

No. El fallo no requiere autenticación por parte del atacante para construir la URL maliciosa; la víctima solo necesita visitarla [1].

¿Está esta vulnerabilidad siendo explotada activamente?

A día de hoy no aparece en el catálogo KEV de CISA, que recoge vulnerabilidades con explotación confirmada [2]. Eso no garantiza que no vaya a explotarse en el futuro, por lo que se recomienda actuar con la misma prioridad que ante cualquier fallo crítico.

¿Afecta solo a quienes usan React?

No. Afecta también a las variantes de Solid y Vue del framework, además del paquete central del servidor [3].

Fuentes

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-102989
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://github.com/advisories/GHSA-qx66-fv34-fjm8