Múltiples vulnerabilidades en productos de Rockwell Automation
Fecha de publicación 12/11/2025
Identificador
INCIBE-2025-0627
Importancia
4 - Alta
Recursos Afectados
- FactoryTalk® DataMosaix™ Private Cloud: 7.11, 8.00, 8.01.
- FactoryTalk® DataMosaix™ Private Cloud: 7.11, 8.00.
- Verve Asset Manager: 1.33, 1.34, 1.35, 1.36, 1.37, 1.38, 1.39, 1.40, 1.41, 1.41.1, 1.41.2, 1.41.3.
Descripción
Rockwell Automation ha publicado 3 vulnerabilidades de severidad alta que podrían permitir a un atacante con permisos de solo lectura leer, actualizar y eliminar usuarios a través de la API, omitir la autenticación multifactor (MFA) o ejecutar JavaScript malicioso.
Solución
Actualizar a las versiones correspondientes:
- FactoryTalk® DataMosaix™ Private Cloud: 8.02.
- FactoryTalk® DataMosaix™ Private Cloud: 8.01.
- Verve Asset Manager: 1.41.4, 1.42.
Detalle
- CVE-2025-11084: vulnerabilidad en DataMosaix™ Private Cloud que podría permitir a los atacantes omitir la autenticación multifactor (MFA) durante la configuración y obtener una cookie de token de inicio de sesión válida sin conocer la contraseña del usuario. Esta vulnerabilidad se produce cuando la MFA está habilitada pero no se completa en un plazo de 7 días.
- CVE-2025-11085: problema de seguridad en DataMosaix™ Private Cloud que podría permitir ataques XSS persistentes. Esta vulnerabilidad puede resultar en la ejecución de JavaScript malicioso, lo que permite la apropiación de cuentas, el robo de credenciales o la redirección a un sitio web malicioso.
- CVE-2025-11862: problema de seguridad en Verve Asset Manager que podría permitir a usuarios no autorizados con permisos de solo lectura leer, actualizar y eliminar usuarios a través de la API.
CVE
Listado de referencias
