Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en DataEase (CVE-2025-62421)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
17/10/2025
Última modificación:
19/10/2026

Descripción

DataEase es una plataforma de visualización y análisis de datos. En las versiones de DataEase hasta la 2.10.13, existe una vulnerabilidad de cross-site scripting almacenado debido a una validación de carga de archivos inadecuada y a una omisión de autenticación. La interfaz StaticResourceApi define una ruta upload/{fileId} que utiliza un parámetro de ruta URL donde tanto el nombre de archivo como la extensión de los archivos cargados son controlables por los usuarios. Durante la validación de permisos, el TokenFilter invoca el método WhitelistUtils#match para determinar si la ruta URL está en la lista de permitidos. Si la requestURI termina con .js o extensiones similares, se considera directamente segura y omite las comprobaciones de permisos. Esto permite a un atacante acceder a 'upload/1.js' mientras especifica extensiones de archivo arbitrarias, lo que permite la carga de archivos HTML que contienen JavaScript malicioso. La vulnerabilidad se corrige en la versión 2.10.14. No existen soluciones alternativas conocidas.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:P CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno
Exploit Maturity (E): POC

Puntuación base 4.0
5.50
Gravedad 4.0
MEDIA
Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
5.40
Gravedad 3.x
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:dataease:dataease:*:*:*:*:*:*:*:* 2.10.14 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información