Vulnerabilidad en Ash (CVE-2025-32782)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-306 Ausencia de autenticación para una función crítica

Fecha de publicación:

15/04/2025

Última modificación:

15/04/2026

Descripción

La autenticación de Ash proporciona autenticación para el framework Ash. El flujo de confirmación para la creación de cuentas utiliza actualmente una solicitud GET que se activa al hacer clic en un enlace enviado por correo electrónico. Algunos clientes de correo electrónico y herramientas de seguridad (por ejemplo, Outlook, antivirus y previsualizadores de correo electrónico) pueden seguir automáticamente estos enlaces, confirmando la cuenta sin querer. Esto permite a un atacante registrar una cuenta con el correo electrónico de otro usuario y, potencialmente, que el cliente de correo electrónico de la víctima la confirme automáticamente. Esto no permite a los atacantes tomar el control ni acceder a cuentas existentes ni a datos privados. Se limita únicamente a la confirmación de cuentas nuevas. Esta vulnerabilidad se corrigió en la versión 4.7.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.30

Gravedad 3.x

MEDIA

Vulnerabilidad en Ash (CVE-2025-32782)

Descripción

Impacto

Referencias a soluciones, herramientas e información