Vulnerabilidad en Fess (CVE-2025-48382)

Gravedad CVSS v4.0:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

27/05/2025

Última modificación:

26/08/2025

Descripción

Fess es un servidor de búsqueda empresarial implementable. Antes de la versión 14.19.2, el método createTempFile() de org.codelibs.fess.helper.SystemHelper creaba archivos temporales sin establecer permisos restrictivos de forma explícita. Esto podía provocar una posible divulgación de información, permitiendo que usuarios locales no autorizados accedieran a datos confidenciales contenidos en estos archivos. Este problema afecta principalmente a entornos donde Fess se implementa en un contexto compartido o multiusuario. Las implementaciones típicas de un solo usuario o aisladas tienen un impacto práctico mínimo o insignificante. Este problema se ha corregido en la versión 14.19.2. Un workaround consiste en restringir el acceso local al entorno donde se ejecuta Fess a usuarios de confianza.

Impacto

Vector 4.0

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:U CVSS v4.0 Severidad y Métricas:

Puntuación base: 1.20 BAJA
Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:U

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Bajo
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): Unreported

Puntuación base 4.0

1.20

Gravedad 4.0

BAJA

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno