Vulnerabilidad en MongoDB (CVE-2025-63291)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/11/2025

Última modificación:

05/11/2026

Descripción

Al procesar solicitudes de API, el servidor Alteryx 2022.1.1.42654 y 2024.1 utilizaba IDs de objeto de MongoDB para identificar de forma única los datos solicitados por el solicitante. El servidor Alteryx no verificaba si el usuario autenticado tenía permiso para acceder al ID de objeto de MongoDB especificado. Al especificar IDs de objeto de MongoDB particulares, los solicitantes podían obtener registros de otros usuarios sin la autorización adecuada. Los registros recuperables mediante este ataque incluían claves API administrativas y claves API de estudio privadas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno