Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en Drawing-Captcha-APP de Drawing-Captcha (CVE-2025-62428)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-601 Redireccionamiento de URL a sitio no confiable (Open Redirect)
Fecha de publicación:
16/10/2025
Última modificación:
09/10/2026

Descripción

Drawing-Captcha APP proporciona verificación interactiva y atractiva para aplicaciones web. La vulnerabilidad es una inyección de encabezado Host en los endpoints /register y /confirm-email. Permite a un atacante manipular el encabezado Host en las solicitudes HTTP para generar enlaces maliciosos de confirmación de correo electrónico. Estos enlaces pueden redirigir a los usuarios a dominios controlados por el atacante. Esta vulnerabilidad afecta a todos los usuarios que dependen de la confirmación por correo electrónico para el registro o verificación de cuentas. Esta vulnerabilidad está corregida en 1.2.5-alpha-parche.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): POC

Puntuación base 4.0
8.80
Gravedad 4.0
ALTA

Referencias a soluciones, herramientas e información