Vulnerabilidad en tarteaucitron.js (CVE-2025-31138)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

07/04/2025

Última modificación:

21/10/2025

Descripción

tarteaucitron.js es un banner de cookies compatible y accesible. Se identificó una vulnerabilidad en tarteaucitron.js antes de la versión 1.20.1, donde las entradas controladas por el usuario para las dimensiones de los elementos (ancho y alto) no se validaban correctamente. Esto permitía a un atacante con acceso directo al código fuente del sitio o a un complemento de CMS establecer valores como 100%;height:100%;position:fixed;, lo que podría cubrir toda la ventana gráfica y facilitar ataques de clickjacking. Un atacante con privilegios elevados podría explotar esta vulnerabilidad para superponer elementos maliciosos de la interfaz de usuario sobre contenido legítimo, engañar a los usuarios para que interactúen con elementos ocultos (clickjacking) o interrumpir la funcionalidad y la accesibilidad previstas del sitio web. Esta vulnerabilidad se corrigió en la versión 1.20.1.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno