Inyección de cabecera Host (HHI) en el cliente VPN Hotspot Shield
Cliente de VPN Hotspot Shield, versión 12.9.2.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad baja que afecta al cliente de VPN Hotspot Shield. La vulnerabilidad ha sido descubierta por Julen Garrido Estevez.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-40710: CVSS v4.0: 2.3 | CVSS AV:N/AC:H/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N | CWE-74
No hay solución reportada por el momento.
CVE-2025-40710: vulnerabilidad de tipo Host Header Injection (HHI) en el cliente VPN Hotspot Shield, que puede inducir comportamientos inesperados al acceder a aplicaciones web de terceros a través del túnel VPN.
Aunque dichas aplicaciones no presentan esta vulnerabilidad por sí mismas, el uso del túnel, junto con una cabecera Host falsificada, puede provocar que el cliente VPN redirija o reenvíe las peticiones HTTP a servidores distintos a los originalmente previstos, generando consecuencias como redirecciones abiertas o la entrega del tráfico a infraestructura controlada por un atacante. Esto no implica un fallo en las aplicaciones de destino, sino en cómo el cliente VPN maneja internamente las cabeceras y las peticiones salientes.
