NodoForocoches corrige un fallo que permitía rastrear visitas mediante imágenes
La vulnerabilidad permitía recopilar la IP y datos del navegador al abrir un hilo con una imagen externa. Según el aviso del INCIBE, está corregida y no habría sido explotada.
Forocoches ha corregido una vulnerabilidad que permitía recopilar información de sus visitantes mediante imágenes insertadas en los comentarios. Según el aviso del INCIBE descrito en la información facilitada, el problema tenía una gravedad alta, con una puntuación de 8,2 sobre 10, y ya no puede explotarse.
El riesgo no exigía que la persona afectada pulsara un enlace ni descargara un archivo: bastaba con abrir un hilo que incluyera una imagen preparada para registrar las conexiones. Eso no significa, sin embargo, que se haya confirmado una filtración masiva. La información disponible señala que el fallo no habría sido explotado y no aporta una cifra de afectados.
Cómo funcionaba el rastreo
El mecanismo se apoyaba en una imagen alojada en un servidor controlado por un tercero. Al aparecer incrustada en un comentario, el navegador del visitante solicitaba ese archivo para mostrarlo dentro de la conversación.
Esa petición llegaba al servidor externo y dejaba un registro de la conexión. En la práctica, la imagen funcionaba como un punto de control: cargarla permitía anotar cuándo se había solicitado y algunos datos del dispositivo que la pedía.
Para obtener esa información, el atacante no necesitaba acceder a la base de datos de Forocoches. La recopilación se producía durante la carga del contenido externo.
Qué información podía quedar expuesta
Los datos que podían registrarse incluían:
- La dirección IP pública de la conexión.
- El agente de usuario, es decir, la información con la que el navegador identifica su tipo, versión y sistema operativo.
- La fecha, la hora y otros metadatos asociados a la solicitud de la imagen.
La IP puede orientar sobre una ubicación aproximada, pero no revela por sí sola un domicilio exacto. Combinar registros de distintas visitas podía facilitar la correlación de actividad, aunque eso no equivale a conocer automáticamente el nombre o la cuenta de una persona.
Corregido, pero sin detalles técnicos de la solución
La vulnerabilidad figura con el identificador CVE-2026-14467 y el aviso INCIBE-2026-815. Su descubrimiento se atribuye al investigador Miguel Jiménez Cámara, mientras que el INCIBE coordinó la corrección.
La información aportada no especifica qué cambio técnico aplicó Forocoches. Tampoco permite sostener que miles de usuarios hayan sufrido una exposición efectiva de datos: describe una posibilidad de rastreo ya subsanada, no una extracción confirmada de la base de datos del foro.
