Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en AI Platform de ServiceNow (CVE-2025-11449)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
10/10/2025
Última modificación:
08/10/2026

Descripción

ServiceNow ha abordado una vulnerabilidad de cross-site scripting reflejado que fue identificada en la Plataforma de IA de ServiceNow. Esta vulnerabilidad podría resultar en la ejecución de código arbitrario dentro de los navegadores de los usuarios de ServiceNow que hagan clic en un enlace especialmente diseñado.<br /> <br /> ServiceNow ha abordado esta vulnerabilidad mediante el despliegue de una actualización de seguridad relevante en la mayoría de las instancias alojadas. También se han proporcionado actualizaciones de seguridad relevantes a los clientes de ServiceNow con autoalojamiento, socios y clientes alojados con configuración única. Además, la vulnerabilidad se aborda en los parches y hot fixes listados. Recomendamos a los clientes que apliquen prontamente las actualizaciones apropiadas o actualicen si aún no lo han hecho.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Passsive
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0
5.30
Gravedad 4.0
MEDIA

Referencias a soluciones, herramientas e información