Vulnerabilidad en Yonyou UFIDA NC (CVE-2025-34039)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

24/06/2025

Última modificación:

26/06/2025

Descripción

Existe una vulnerabilidad de inyección de código en Yonyou UFIDA NC v6.5 y versiones anteriores debido a la exposición del servlet de pruebas BeanShell (bsh.servlet.BshServlet) sin los controles de acceso adecuados. El servlet permite a atacantes remotos no autenticados ejecutar código Java arbitrario mediante el parámetro bsh.script. Esto puede explotarse para ejecutar comandos del sistema y, en última instancia, obtener el control total del servidor objetivo. El problema se origina en un componente JAR de terceros incluido en la aplicación, y el servlet es accesible sin autenticación en instalaciones vulnerables.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 10.00 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto

Puntuación base 4.0

10.00

Gravedad 4.0

CRÍTICA

Vulnerabilidad en Yonyou UFIDA NC (CVE-2025-34039)

Descripción

Impacto

Referencias a soluciones, herramientas e información