Cross-Site Scripting (XSS) reflejado en Anon Proxy Server

Fecha de publicación 31/03/2026

Identificador

INCIBE-2026-247

Importancia

3 - Media

Recursos Afectados

Anon Proxy Server v0.104.

Descripción

INCIBE ha coordinado la publicación de tres vulnerabilidades de severidad media que afectan a Anon Proxy Server, servidor proxy rápido con caché HTTP, HTTPS y SOCKS. Las vulnerabilidades han sido descubiertas por Rafael Pedrero.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vectores CVSS y el tipo de vulnerabilidad CWE:

Desde CVE-2025-41355 hasta CVE-2025-41357: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79

Solución

Estas vulnerabilidades han sido solucionadas en la última versión.

Detalle

Vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejado en Anon Proxy Server v0.104. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. Esta vulnerabilidad puede explotarse para robar datos confidenciales del usuario, como cookies de sesión, o para realizar acciones en nombre del usuario. A continuación, se detalla la relación entre los parámetros afectados y sus endpoints:

CVE-2025-41355: parámetros 'port' y 'proxyPort' en '/anon.php'.
CVE-2025-41356: parámetro 'host' en '/diagconnect.php'.
CVE-2025-41357: parámetro 'host' en '/diagdns.php'.

CVE

Explotación

CVE