Vulnerabilidad en SpagoBI v3.5.1 (CVE-2024-54792)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

21/01/2025

Última modificación:

03/07/2025

Descripción

Se ha detectado una vulnerabilidad Cross-Site Request Forgery (CSRF) en SpagoBI v3.5.1 en el panel de administración de usuarios. Un usuario autenticado puede hacer que otro usuario ejecute acciones no deseadas dentro de la aplicación en la que ha iniciado sesión, como agregar, editar o eliminar usuarios.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.10

Gravedad 3.x

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:eng:spagobi:3.5.1:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Referencias a soluciones, herramientas e información

https://github.com/MarioTesoro/CVE-2024-54792