Vulnerabilidad en webfinger.js (CVE-2025-54590)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-918
Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
01/08/2025
Última modificación:
04/08/2025
Descripción
webfinger.js es un cliente WebFinger basado en TypeScript que funciona tanto en navegadores como en entornos Node.js. En las versiones 2.8.0 y anteriores, la función de búsqueda acepta direcciones de usuario para la comprobación de cuentas. Sin embargo, la especificación ActivityPub exige impedir el acceso a los servicios del host local en producción. Esta librería no impide el acceso al host local, sino que solo comprueba los hosts que empiezan por "localhost" y terminan con un puerto. Los usuarios pueden aprovechar esto creando servidores que envíen solicitudes GET con parámetros de host, ruta y puerto controlados para consultar servicios en el host o la red local de la instancia, lo que permite ataques SSRF ciegos. Esto se ha corregido en la versión 2.8.1.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA