Vulnerabilidad en E.D.D.I (Enhanced Dialog Driven Interface) (CVE-2025-32779)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

15/04/2025

Última modificación:

27/10/2025

Descripción

E.D.D.I (Enhanced Dialog Driven Interface) es un middleware para conectar y administrar bots de la API LLM. En versiones anteriores a la 5.5.0, un atacante con acceso al endpoint de la API `/backup/import` podía escribir archivos arbitrarios fuera del directorio de extracción previsto debido a una vulnerabilidad de Zip Slip. Aunque la aplicación se ejecuta como un usuario no root (`185`), lo que limita el impacto directo en los archivos del sistema, esta vulnerabilidad puede explotarse para sobrescribir archivos de la aplicación (p. ej., librerías JAR) propiedad del usuario. Esta sobrescritura puede provocar la ejecución remota de código (RCE) dentro del contexto de la aplicación. Este problema se ha corregido en la versión 5.5.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vulnerabilidad en E.D.D.I (Enhanced Dialog Driven Interface) (CVE-2025-32779)

Descripción

Impacto

Referencias a soluciones, herramientas e información