Vulnerabilidad en HAX open-apis (CVE-2025-48996)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

02/06/2025

Última modificación:

04/06/2025

Descripción

HAX open-apis proporciona API de microservicios para el repositorio de componentes web HAX, que son llamadas de infraestructura compartida. Existe una vulnerabilidad de divulgación de información no autenticada en la implementación del sistema de gestión de contenido HAX de la Universidad Estatal de Pensilvania a través del endpoint de la API `haxPsuUsage`, relacionada con un error presente en las versiones de open-apis hasta la 10.0.2 incluida. Esto permite a cualquier usuario remoto no autenticado obtener una lista completa de sitios web de la PSU alojados en HAX CMS. En combinación con otros problemas de autorización (p. ej., HAX-3), esto podría facilitar ataques dirigidos, como la modificación o eliminación no autorizada de contenido. El commit 06c2e1fbb7131a8fe66aa0600f38dcacae6b7ac7 corrige la vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.30

Gravedad 3.x

MEDIA

Vulnerabilidad en HAX open-apis (CVE-2025-48996)

Descripción

Impacto

Referencias a soluciones, herramientas e información