Vulnerabilidad en Now Platform (CVE-2025-3648)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

08/07/2025

Última modificación:

08/07/2025

Descripción

Se ha identificado una vulnerabilidad en Now Platform que podría provocar la inferencia de datos sin autorización. Bajo ciertas configuraciones de listas de control de acceso condicional (ACL), esta vulnerabilidad podría permitir que usuarios, tanto autenticados como no autenticados, utilicen solicitudes de consulta de rango para inferir datos de instancias a los que no deberían tener acceso. Para ayudar a los clientes a mejorar los controles de acceso, ServiceNow ha introducido marcos de control de acceso adicionales en Xanadu y Yokohama, como las ACL de consulta, los filtros de datos de seguridad y las ACL de denegación. Además, en mayo de 2025, ServiceNow entregó a sus clientes una actualización de seguridad diseñada para mejorar las configuraciones de las ACL. Consulten los artículos de la base de conocimientos en la sección de Referencias.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.20

Gravedad 4.0

ALTA

Vulnerabilidad en Now Platform (CVE-2025-3648)

Descripción

Impacto

Referencias a soluciones, herramientas e información