Vulnerabilidad en Hotwired Turbo (CVE-2025-66803)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-362 Ejecución concurrente utilizando recursos compartidos con una incorrecta sincronización (Condición de carrera)

Fecha de publicación:

20/01/2026

Última modificación:

30/01/2026

Descripción

Una condición de carrera en el manejador del elemento turbo-frame en Hotwired Turbo anterior a la versión 8.0.x provoca que las operaciones de cierre de sesión fallen cuando respuestas de frame retrasadas vuelven a aplicar las cookies de sesión después del cierre de sesión. Esto puede ser explotado por atacantes remotos mediante retrasos selectivos en la red (por ejemplo, retrasando solicitudes basándose en la secuencia o el tiempo) o por atacantes físicamente próximos cuando la condición de carrera ocurre naturalmente en ordenadores compartidos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno