[Actualización 08/07/2025] Múltiples vulnerabilidades en Quiter Gateway de Quiter
Quiter Gateway (WAR Java sobre Apache Tomcat), versiones inferiores a la 4.7.0.
INCIBE ha coordinado la publicación de 11 vulnerabilidades: 7 de severidad crítica y 4 de severidad media, que afectan a Quiter Gateway (WAR Java sobre Apache Tomcat) de Quiter, una solución de software completa para la gestión de concesionarios y talleres de automóviles. Las vulnerabilidades han sido descubiertas por David Carrión Poza.
A estas vulnerabilidades se les ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:
- CVE-2025-40711 hasta CVE-2025-40717: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
- CVE-2025-40718: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-209
- CVE-2025-40719 hasta CVE-2025-40721: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
[Actualización 08/07/2025]
Quiter ha liberado versiones que corrigen los 11 CVE enumerados en el aviso:
- QuiterGatewayWeb 4.7.0 (fe350748cfd14ba3f966c80d0d140254375ec23a);
- QMSCliente 1.0.15 (f19b69fb8dbec57d1c372f4631cb029328144e98);
- QISClient 2.0.1-SNAPSHOT (455c037d22e87178703c96f9d98a05fd46dbad41);
Quiter ha aplicado la versión correctora en todos los clientes afectados.
La corrección para las vulnerabilidades reportadas ha sido verificada por un auditor externo (Bullhost)
- Vulnerabilidades de inyección SQL en versiones inferiores a la 4.7.0 de Quiter Gateway de Quiter. Estas vulnerabilidades permiten a un atacante recuperar, crear, actualizar y eliminar bases de datos. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2025-40711: parámetro id_concesion en /<Client>FacturaE/VerFacturaPDF.
- CVE-2025-40712: parámetro id_concesion en /<Client>FacturaE/DescargarFactura.
- CVE-2025-40713: parámetro campo en /<Client>FacturaE/BusquedasFacturasSesion.
- CVE-2025-40714: parámetro id_factura en /<Client>FacturaE/listado_facturas_ficha.jsp.
- CVE-2025-40715: parámetro mensaje en /QISClient/api/v1/sucesospaginas.
- CVE-2025-40716: parámetro suceso.contenido in /QMSCliente/Sucesos.action.
- CVE-2025-40717: parámetro pagina.filter.categoria en /QuiterGatewayWeb/api/v1/sucesospagina.
- CVE-2025-40718: vulnerabilidad de gestión de errores inadecuada en versiones inferiores a la 4.7.0 de Quiter Gateway de Quiter. Esta vulnerabilidad permite a un atacante enviar cargas útiles malformadas para generar mensajes de error que contengan información confidencial.
- Vulnerabilidades Cross-site Scripting (XSS) reflejado en versiones inferiores a la 4.7.0 de Quiter Gateway de Quiter. Estas vulnerabilidades permiten a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2025-40719: parámetro id_concesion en /<Client>FacturaE/VerFacturaPDF.
- CVE-2025-40720: parámetro campo en /<Client>FacturaE/VerFacturaPDF.
- CVE-2025-40721: parámetro id_factura en /<Client>FacturaE/listado_facturas_ficha.jsp.
