Vulnerabilidad en Tableau (CVE-2019-15637)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
26/08/2019
Última modificación:
17/06/2026
Descripción
Numerosos productos de Tableau son vulnerables a ataque de tipo XXE por medio de un libro de trabajo, extensión o fuente de datos maliciosos, lo que conlleva a la divulgación de información o a una DoS. Esto afecta a Tableau Server, Tableau Desktop, Tableau Reader y Tableau Public Desktop.
Impacto
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA
Puntuación base 2.0
5.50
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 10.5 (incluyendo) | 10.5.18 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.1 (incluyendo) | 2018.1.15 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.2 (incluyendo) | 2018.12 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.3 (incluyendo) | 2018.3.9 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2019.1 (incluyendo) | 2019.1.6 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2019.2 (incluyendo) | 2019.2.2 (incluyendo) |
| cpe:2.3:o:linux:linux_kernel:-:*:*:*:*:*:*:* | ||
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 10.2 (incluyendo) | 10.2.23 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 10.3 (incluyendo) | 10.3.23 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 10.4 (incluyendo) | 10.4.19 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 10.5 (incluyendo) | 10.5.18 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.1 (incluyendo) | 2018.1.15 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.2 (incluyendo) | 2018.12 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2018.3 (incluyendo) | 2018.3.9 (incluyendo) |
| cpe:2.3:a:tableau:tableau_server:*:*:*:*:*:*:*:* | 2019.1 (incluyendo) | 2019.1.6 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://community.tableau.com/community/security-bulletins/blog/2019/08/22/important-adv-2019-030-xxe-vulnerability-in-tableau-products
- https://github.com/minecrater/exploits/blob/master/TableauXXE.py
- https://packetstormsecurity.com/files/154232/Tableau-XML-Injection.html
- https://community.tableau.com/community/security-bulletins/blog/2019/08/22/important-adv-2019-030-xxe-vulnerability-in-tableau-products
- https://github.com/minecrater/exploits/blob/master/TableauXXE.py
- https://packetstormsecurity.com/files/154232/Tableau-XML-Injection.html



