Vulnerabilidad en Cisco Nexus Dashboard (CVE-2024-20281)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-352
Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
03/04/2024
Última modificación:
07/05/2025
Descripción
Una vulnerabilidad en la interfaz de administración basada en web de Cisco Nexus Dashboard y los servicios alojados de Cisco Nexus Dashboard podría permitir que un atacante remoto no autenticado lleve a cabo un ataque de falsificación de solicitud entre sitios (CSRF) en un SYSTEM afectado. Esta vulnerabilidad se debe a protecciones CSRF insuficientes para la interfaz de administración basada en web en un SYSTEM afectado. Un atacante podría aprovechar esta vulnerabilidad persuadiendo a un usuario para que haga clic en un enlace malicioso. Un exploit exitoso podría permitir al atacante realizar acciones arbitrarias con el nivel de privilegio del usuario afectado. Si el usuario afectado tiene privilegios administrativos, estas acciones podrían incluir modificar la configuración del SYSTEM y crear nuevas cuentas privilegiadas. Nota: Existen mecanismos de seguridad internos que limitan el alcance de este exploit, lo que reduce la clasificación de impacto en la seguridad de esta vulnerabilidad.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:cisco:nexus_dashboard:*:*:*:*:*:*:*:* | 3.1(1k) (excluyendo) | |
| cpe:2.3:a:cisco:nexus_dashboard_fabric_controller:*:*:*:*:*:*:*:* | 12.0.0 (incluyendo) | 12.2.1 (excluyendo) |
| cpe:2.3:a:cisco:nexus_dashboard_insights:*:*:*:*:*:*:*:* | 6.4.1 (excluyendo) | |
| cpe:2.3:a:cisco:nexus_dashboard_orchestrator:*:*:*:*:*:*:*:* | 4.3(1.1008) (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página