Múltiples vulnerabilidades en Dowisp
Dowisp, versiones anteriores a 2.0.1.
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad media, que afectan a Dowisp, software que permite gestionar operadoras de telecomunicaciones. Las vulnerabilidades han sido descubiertas por José Luis Platas Feced.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2025-41071 y CVE-2025-41072: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79.
Las vulnerabilidades han sido solucionadas por el equipo de Dowisp en la versión 2.0.1. Además, estas vulnerabilidades afectaban a la plataforma alojada en el dominio dowisp.app, el cual ha sido cerrado y ahora se aloja en app.dowisp.com, con los cambios realizados.
Se ha encontrado una vulnerabilidad de Cross-Site Scripting (XSS) almacenadas en Dowisp. Esta vulnerabilidad permite a un atacante almacenar un contenido SVG malicioso mediante el envío de una solicitud HTTP POST utilizando un espacio en blanco al final del parámetro JSON para eludir la seguridad. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2025-41071: parámetro 'attachment.file.name' en '/d2/helpdesk/ticket/<id>/add_comment/'.
- CVE-2025-41072: parámetro 'file.name' en '/d2/helpdesk/ticket//attachments/'.
