Vulnerabilidad en CKAN (CVE-2025-54384)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

29/10/2025

Última modificación:

19/10/2026

Descripción

CKAN es un DMS (sistema de gestión de datos) de código abierto para impulsar centros de datos y portales de datos. Antes de 2.10.9 y 2.11.4, la función helpers.markdown_extract() no realizaba una sanitización suficiente de los datos de entrada antes de envolverlos en un elemento literal HTML. Este helper se utiliza para renderizar datos proporcionados por el usuario en páginas de conjuntos de datos, recursos, organizaciones o grupos (además de cualquier página proporcionada por una extensión que utilizara esa función helper), lo que lleva a un vector XSS potencial. Esta vulnerabilidad ha sido corregida en CKAN 2.10.9 y 2.11.4.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.30

Gravedad 3.x

MEDIA

Vulnerabilidad en CKAN (CVE-2025-54384)

Descripción

Impacto

Referencias a soluciones, herramientas e información