CVE-2023-51724

El router Skyworth CM5100 valida de forma insuficiente un parámetro URL en su interfaz web, lo que permite cross-site scripting almacenado: la entrada manipulada del atacante se guarda y luego se ejecuta como script en el navegador de quien vea la página afectada. En una interfaz de administración de router, la víctima natural es un administrador, y el script que se ejecuta en ese contexto puede montarse sobre acciones de administrador, pero el vector requiere privilegios altos para plantar el payload y una víctima que lo vea.

Esas dos precondiciones lo mantienen en la banda media y dan forma a un modelo de amenaza modesto. Quien almacena el payload ya necesita acceso elevado a la interfaz, y el daño solo se materializa cuando un administrador carga posteriormente la página contaminada. Es una preocupación real de integridad —el XSS almacenado en un panel de administración puede escalar hacia cambios de configuración—, pero no es el patrón no autenticado y masivamente explotable que define los fallos críticos de router de este lote.

Lo clasificamos en consecuencia y tratamos el acceso a la interfaz de gestión como el control principal, ya que la barrera de privilegios altos para almacenar el payload significa que limitar quién alcanza el panel de administración lo neutraliza en gran medida. Donde la interfaz está expuesta a un conjunto más amplio de usuarios, la cadena de XSS-almacenado-a-acción-de-administrador se vuelve más plausible y la prioridad sube; donde está bien restringida, esto se queda como un elemento de fortalecimiento de baja urgencia.