Vulnerabilidad en Guardian y CMC de Nozomi Networks (CVE-2025-40891)

Gravedad CVSS v4.0:

BAJA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

18/12/2025

Última modificación:

30/09/2026

Descripción

Se descubrió una vulnerabilidad de inyección HTML almacenada en la funcionalidad de Diferencia de Instantáneas de Time Machine debido a una validación inadecuada de los datos de tráfico de red. Un atacante no autenticado puede enviar paquetes de red especialmente diseñados en dos momentos diferentes para inyectar etiquetas HTML en atributos de activos en dos instantáneas. La explotación requiere que una víctima utilice la función de Diferencia de Instantáneas de Time Machine en esas instantáneas específicas y realice acciones específicas de la GUI, momento en el cual el HTML inyectado se renderiza en su navegador, lo que permite ataques de phishing y redirección abierta. La explotación completa de XSS se evita mediante la validación de entrada y la Política de Seguridad de Contenido. La complejidad del ataque es alta debido a múltiples condiciones requeridas.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 2.30 BAJA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Passsive
Confidentiality (VC): Ninguno
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0

2.30

Gravedad 4.0

BAJA

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.70 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno