Vulnerabilidad en EspoCRM (CVE-2025-32390)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)

Fecha de publicación:

12/05/2025

Última modificación:

17/06/2025

Descripción

EspoCRM es una plataforma gratuita y de código abierto para la gestión de relaciones con clientes. Antes de la versión 9.0.8, la inyección de HTML en los artículos de la Base de Conocimiento (KB) provocaba una desfiguración completa de la página, imitando la página de inicio de sesión. Los usuarios autenticados con privilegios de lectura de artículos de la KB podían acceder a ellos y, si introducían sus credenciales, estas se capturaban en texto plano. Esta vulnerabilidad se debe a la excesiva permisividad de la edición de HTML en los artículos de la KB. Cualquier usuario autenticado con privilegios de lectura de artículos de la KB se ve afectado. En una empresa con múltiples aplicaciones, el artículo malicioso de la KB podría editarse para que coincida con las páginas de inicio de sesión de otras aplicaciones, lo que también lo haría útil para la recolección de credenciales contra otras aplicaciones. La versión 9.0.8 incluye un parche para este problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.00 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Activo
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): POC

Puntuación base 4.0

7.00

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno