Vulnerabilidad en Xtooltech Xtool AnyScan Android Application (CVE-2025-63432)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

24/11/2025

Última modificación:

05/11/2026

Descripción

La aplicación Xtooltech Xtool AnyScan para Android 4.40.40 y versiones anteriores carece de validación de certificado SSL. La aplicación no valida correctamente el certificado TLS de su servidor de actualizaciones. Un atacante en la misma red puede explotar esta vulnerabilidad realizando un ataque Man-in-the-Middle (MitM) para interceptar, descifrar y modificar el tráfico entre la aplicación y el servidor de actualizaciones. Esto sirve como base para ataques posteriores, incluida la ejecución remota de código.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.60 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno