Vulnerabilidad en Open ISES Tickets

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-295 Validación incorrecta de certificados

Fecha de publicación:

21/05/2026

Última modificación:

23/10/2026

Descripción

Abrir tickets ISES antes de que la versión 3.44.2 deshabilite la verificación de certificados TLS en ajax/reports.php al establecer CURLOPT_SSL_VERIFYPEER en falso (y no establecer CURLOPT_SSL_VERIFYHOST) al emitir solicitudes HTTPS salientes para búsquedas de la API de Google Maps Directions durante la generación de informes de incidentes. Un atacante posicionado en la ruta de red entre el servidor y el endpoint remoto puede presentar un certificado falsificado para interceptar, monitorear o modificar la solicitud y la respuesta, incluyendo cualquier clave de API o datos de sesión en tránsito.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.20

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.90

Gravedad 3.x

MEDIA

Vulnerabilidad en Open ISES Tickets

Descripción

Impacto

Referencias a soluciones, herramientas e información