Inyección SQL en Epsilon RH
Epsilon RH
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Epsilon RH de Grupo Castilla, un sistema para recursos humanos (RRHH). La vulnerabilidad ha sido descubierta por Pedro Gabaldón Juliá, Javier Medina Munuera, Antonio José Gálvez Sánchez, Alejandro Baño Andrés y Álvaro Piñero Laorden.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-41028: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. | CWE-89.
La vulnerabilidad ha sido solucionada por el equipo de Grupo Castilla en la versión 3.03.36.0121.
CVE-2025-41028: vulnerabilidad de inyección SQL en Epsilon RH del Grupo Castilla. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos mediante el envío de una petición POST utilizando el parámetro ‘sEstadoUsr’ en ‘/epsilonnetws/WSAvisos.asmx’.
