Vulnerabilidad en ModSecurity (CVE-2025-52891)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

02/07/2025

Última modificación:

03/07/2025

Descripción

ModSecurity es un motor de firewall de aplicaciones web (WAF) multiplataforma de código abierto para Apache, IIS y Nginx. En las versiones 2.9.8 y anteriores a la 2.9.11, una etiqueta XML vacía puede causar un fallo de segmentación. Si SecParseXmlIntoArgs está activado o OnlyArgs, el tipo de solicitud es application/xml y al menos una etiqueta XML está vacía (por ejemplo, ), se produce un fallo de segmentación. Este problema se ha corregido en la versión 2.9.11. Una solución alternativa consiste en desactivar SecParseXmlIntoArgs.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vulnerabilidad en ModSecurity (CVE-2025-52891)

Descripción

Impacto

Referencias a soluciones, herramientas e información